VIP20

本课程属于：038-设备供应链安全 物联网安全与设备身份认证 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

IoT构建证明保障软件生产验证

📚 共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

课程导论与核心概念

什么是软件证明保障？为什么需要它？核心术语（SBOM、SLSA、Sigstore）概览。

软件供应链安全全景

从开发到部署的威胁模型，攻击面分析（代码、依赖、构建、分发）。

SBOM（软件物料清单）深度解析

SPDX与CycloneDX标准，SBOM的生成、验证与消费。

SLSA框架实战

SLSA Level 1-4详解，如何提升你的构建流水线等级。

Sigstore与代码签名

使用Cosign进行容器镜像签名，Keyless签名实践。

Git与版本控制证明

GPG签名提交，Signed Commits与Tag，验证提交来源。

构建系统安全加固

隔离构建环境（容器化），可重现构建（Reproducible Builds）。

CI/CD流水线证明

在GitHub Actions/GitLab CI中集成证明生成（Provenance Generation）。

工件分发与验证

使用OCI Artifacts分发证明，客户端验证工作流。

策略引擎与门禁

使用OPA/Kyverno实施基于证明的准入控制。

运行时证明

使用TEE（机密计算）与Attestation进行运行时验证。

身份与访问管理（IAM）在证明中的作用

SPIFFE/SPIRE实现工作负载身份。

日志审计与可追溯性

透明日志（Rekor）与审计链。

多平台与异构环境证明

跨云、跨架构的证明挑战与解决方案。

多平台异构

开源工具链整合

in-toto、Grafeas、Kritis等工具的集成使用。

工具链开源

企业级策略制定

如何设计组织的证明策略与合规要求。

案例研究：SolarWinds攻击复盘

如果有了证明保障会怎样？

案例SolarWinds

案例研究：Log4j漏洞响应

SBOM在应急中的关键作用。

案例研究：开源项目维护者的证明实践

如curl、Node.js等项目的实践。

自动化证明生成

编写自定义证明生成器与适配器。

自动化生成

证明的存储与生命周期管理

证明的版本化、过期与轮换。

存储生命周期

与现有DevSecOps工具集成

集成Trivy、Grype等扫描器与证明数据。

集成DevSecOps

法律与合规视角

GDPR、CRA（欧盟网络弹性法案）对软件证明的要求。

性能与开销优化

证明生成与验证的性能基准测试与优化。

故障排查与调试

证明验证失败时的常见问题与诊断方法。

高级主题：零知识证明在软件供应链中的应用前景

探索零知识证明如何增强供应链隐私与安全。

高级零知识

高级主题：联邦证明与跨组织信任模型

构建跨组织的信任与证明共享机制。

动手实验：搭建一个完整的证明保障流水线（端到端）

从零开始构建具备证明能力的CI/CD流水线。

实验流水线

动手实验：编写策略规则并验证违规证明

使用OPA/Kyverno编写策略并检测不合规证明。

课程总结与未来趋势

AI对软件证明的影响，后量子时代的证明方案。