01
SBOM基础概念
什么是SBOM、组成要素、在设备合规中的核心价值，建立软件物料清单认知根基。
概念价值
02
SBOM标准与格式
SPDX、CycloneDX、SWID标签详解，三种格式对比与选型策略。
SPDXCycloneDXSWID
03
SBOM生成工具实战
使用syft、cdxgen、tern生成容器镜像与应用SBOM，分析基础镜像依赖。
syftcdxgentern
04
SBOM质量与完整性
深度与广度评估、依赖关系解析、缺失组件识别及验证工具应用。
质量验证
05
SBOM版本管理
SBOM与软件版本关联、变更追踪、签名与完整性校验机制。
版本签名
06
开源许可证合规
GPL、MIT、Apache等许可证分类，兼容性分析与冲突检测。
许可证合规
07
漏洞管理与SBOM
CVE关联、Grype扫描SBOM漏洞、严重性评估与修复优先级。
CVEGrype
08
设备固件分析
固件提取、文件系统分析、第三方组件识别技术。
固件提取
09
二进制成分分析
BOM在二进制层面应用，scancode分析二进制文件，识别闭源中的开源代码。
二进制scancode
10
供应链安全基础
软件供应链攻击案例、SLSA/SSDF框架、SBOM在供应链中的关键作用。
供应链SLSA
11
设备身份与认证
TPM、安全芯片、设备证书管理，设备身份与SBOM绑定实践。
TPM身份
12
合规框架概述
ISO 27001、NIST SP 800-53、欧盟网络安全法案与SBOM要求。
ISONIST
13
FDA医疗器械合规
FDA对医疗器械软件要求、SBOM在提交与预认证中的作用。
FDA医疗
14
汽车行业合规
ISO 21434、UN R155法规、汽车软件更新与SBOM关联。
汽车ISO 21434
15
工业控制系统合规
IEC 62443标准、工控设备SBOM特殊性及漏洞管理。
工控IEC 62443
16
电信设备合规
3GPP标准、网络设备安全保障框架、电信级SBOM要求。
电信3GPP
17
审计准备
审计目标定义、范围划定、证据收集清单制定。
准备证据
18
SBOM审计流程
审计计划、SBOM收集验证、组件清单比对与差异分析。
流程比对
19
漏洞审计实战
DefectDojo管理漏洞、生命周期管理、修复验证与闭环。
DefectDojo漏洞
20
许可证审计实战
FOSSology许可证扫描、合规报告生成、违规处理流程。
FOSSology许可证
21
依赖关系审计
传递依赖分析、依赖混淆检测、版本锁定策略。
依赖混淆
22
审计报告编写
报告结构、发现项分类评级、整改建议与模板示例。
报告模板
23
自动化审计流水线
CI/CD集成SBOM生成、自动化触发策略、结果通知告警。
CI/CD自动化
24
审计工具链搭建
Grype、Syft、Trivy、FOSSology选型，集成方案与维护。
工具链开源
25
合规仪表盘设计
KPI定义、SBOM覆盖率、漏洞趋势图、许可证风险热力图。
仪表盘KPI
26
事件响应与SBOM
安全事件中SBOM溯源、受影响组件定位、补丁优先级排序。
事件响应溯源
27
第三方供应商管理
供应商SBOM要求、风险评估、审计流程。
供应商风险
28
法规更新与持续合规
法规跟踪、SBOM策略评审、持续合规运营模型。
持续合规法规
29
案例实战
智能家居、工业路由器、医疗输液泵合规审计全流程演练。
案例实战
30
课程总结与认证
核心知识点回顾、常见误区、自评表与认证考试指南。
总结认证