第1章
SBOM基础概念
什么是SBOM、SBOM的起源与演进、SBOM的核心价值
概念起源价值
第2章
SBOM标准与格式
SPDX、CycloneDX、SWID三大标准对比与选型
SPDXCycloneDXSWID
第3章
SBOM生成工具
Syft、Trivy、SPDX Tools等工具的安装与使用
SyftTrivy工具
第4章
SBOM生成实战
从容器镜像、源码、二进制文件生成SBOM
容器源码二进制
第5章
SBOM质量评估
完整性、准确性、可读性评估指标与方法
质量指标评估
第6章
SBOM存储与管理
本地存储、仓库管理、版本控制最佳实践
存储版本控制管理
第7章
SBOM共享与分发
通过API、文件服务器、CI/CD管道分发SBOM
APICI/CD分发
第8章
SBOM生命周期管理
创建、更新、归档、废弃全流程管理
生命周期归档管理
第9章
漏洞数据库基础
CVE、NVD、OSV、GHSA等漏洞源介绍
CVENVD漏洞
第10章
漏洞匹配原理
如何将SBOM组件与漏洞数据库进行关联匹配
匹配关联原理
第11章
漏洞严重性评估
CVSS评分、EPSS评分、上下文风险评估
CVSSEPSS评估
第12章
漏洞修复优先级
基于资产价值、可利用性、业务影响排序
优先级修复排序
第13章
合规框架概述
ISO 21434、UN R155、IEC 62443等标准解读
ISOUN R155IEC
第14章
设备合规要求
软件物料清单透明度、漏洞披露、安全更新
透明度披露更新
第15章
合规差距分析
从SBOM到合规要求的映射与差距识别
差距映射分析
第16章
合规证据链构建
如何用SBOM构建可审计的合规证据链
证据链审计合规
第17章
自动化合规检查
使用OPA、Rego等策略引擎实现合规自动化
OPARego自动化
第18章
CI/CD集成
在DevOps流水线中嵌入SBOM生成与合规检查
DevOps流水线集成
第19章
SBOM签名与验证
使用GPG、Sigstore确保SBOM完整性与来源可信
GPGSigstore签名
第20章
供应链安全策略
基于SBOM的供应商风险评估与管理
供应链风险供应商
第21章
多源SBOM融合
合并来自不同供应商、不同工具的SBOM数据
融合多源合并
第22章
SBOM差异分析
版本间组件变更、漏洞新增/修复的追踪
差异版本追踪
第23章
合规报告生成
自动生成面向不同受众的合规报告
报告自动化合规
第24章
设备固件SBOM
从嵌入式设备固件提取与生成SBOM
固件嵌入式提取
第25章
OTA更新与SBOM
空中升级场景下的SBOM同步与验证
OTA升级同步
第26章
法规遵从性验证
SBOM在GDPR、CCPA等隐私法规中的应用
GDPRCCPA隐私
第27章
SBOM与AI/ML模型
机器学习模型依赖的SBOM生成与管理
AIML模型
第28章
SBOM与开源合规
许可证合规性检查与冲突解决
开源许可证合规
第29章
SBOM与出口管制
识别受EAR、ITAR等出口管制影响的组件
EARITAR管制
第30章
全链路实战案例
从SBOM生成到设备合规认证的完整端到端案例
实战端到端认证