01
SBOM基础概念
什么是SBOM、SBOM的组成要素、SBOM在设备生命周期中的价值。
基础概念
02
合规审计概述
设备合规审计的定义、审计目标、审计范围与频率。
审计基础
03
SBOM标准与格式
SPDX、CycloneDX、SWID标签的对比与选择。
标准格式
04
SBOM生成工具
使用syft、cyclonedx-cli、tern生成容器镜像SBOM。
工具实践
05
SBOM生成实战
对Linux固件进行SBOM提取与验证。
实战固件
06
SBOM版本管理
SBOM的版本控制策略、与CI/CD流水线的集成。
版本CI/CD
07
漏洞数据库对接
对接NVD、OSV、GitHub Advisory Database。
漏洞数据库
08
漏洞匹配算法
精确匹配、模糊匹配、版本范围匹配的原理。
算法匹配
09
SBOM与CVE关联
如何将SBOM中的组件映射到CVE编号。
CVE映射
10
合规策略定义
定义组织级的合规基线（如：禁止GPL 3.0组件）。
策略合规
11
许可证合规审计
扫描SBOM中的许可证信息，识别冲突许可证。
许可证审计
12
出口管制合规
识别EAR、ITAR受限组件，生成合规报告。
出口管制EAR
13
供应链安全审计
评估供应商SBOM的完整性与可信度。
供应链安全
14
SBOM签名与验证
使用GPG或Sigstore对SBOM进行数字签名。
签名验证
15
SBOM存储与检索
搭建内部SBOM仓库（如使用Harbor或GitLab）。
存储仓库
16
审计报告生成
使用Python生成PDF/HTML格式的合规审计报告。
报告Python
17
自动化审计流水线
基于Jenkins/GitHub Actions搭建自动化审计流程。
自动化流水线
18
SBOM差分审计
对比两个版本SBOM，识别新增/移除/升级的组件。
差分版本
19
运行时SBOM审计
从运行中的容器/设备动态提取SBOM。
运行时动态
20
IoT设备SBOM审计
针对嵌入式Linux、RTOS设备的特殊审计方法。
IoT嵌入式
21
汽车行业合规
ISO/SAE 21434标准下的SBOM审计实践。
汽车ISO
22
医疗设备合规
FDA关于医疗器械SBOM的要求与审计流程。
医疗FDA
23
工业控制系统审计
IEC 62443标准下的SBOM审计要点。
工控IEC
24
SBOM与VEX
利用VEX（漏洞可利用性交换）优化审计结果。
VEX优化
25
审计结果可视化
使用Grafana或ECharts展示审计数据。
可视化仪表盘
26
SBOM审计工具链
整合Grype、Trivy、Dependency-Check。
工具链整合
27
多源SBOM融合
合并来自不同工具/供应商的SBOM数据。
融合多源
28
SBOM审计的挑战与对策
处理不完整SBOM、私有组件、遗留系统。
挑战对策
29
案例实战
对一个开源项目进行完整的SBOM合规审计。
案例实战
30
课程总结与未来趋势
SBOM在AI、量子计算等新兴领域的应用展望。
总结趋势