VIP20

本课程属于：038-设备供应链安全 物联网安全与设备身份认证 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

IoT组件供应链审计与漏洞追踪

📚 共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

供应链安全概述

什么是软件供应链、攻击面分析、Log4j事件复盘

SBOM定义与格式（SPDX、CycloneDX）、生成工具（syft、cdxgen）

SPDXCycloneDXsyft

在CI/CD中集成SBOM生成、SBOM版本管理

CI/CD版本管理

漏洞数据库

NVD、GitHub Advisory、OSV、国内CNNVD

漏洞评分系统

CVSS 3.1评分机制、EPSS利用预测、KEV目录

依赖扫描工具

Trivy、Grype、Snyk、OWASP Dependency-Check

Trivy深度使用

安装、镜像扫描、文件系统扫描、SBOM扫描

镜像扫描SBOM

Grype与Syft联动

Syft生成SBOM、Grype扫描漏洞、结果解析

SyftGrype联动

策略即代码

使用Rego/OPA定义依赖策略、阻断高危组件

策略引擎集成

在GitLab CI/GitHub Actions中集成OPA策略

GitLab CIGitHub Actions

漏洞生命周期管理

发现→评估→修复→验证→关闭

生命周期修复流程

修复优先级

基于CVSS+EPSS+业务影响综合排序

优先级CVSSEPSS

自动化修复

Dependabot、Renovate配置与最佳实践

DependabotRenovate

组件版本锁定

lock文件管理（package-lock、go.sum、Cargo.lock）

lock文件版本锁定

镜像签名与验证

Cosign、Notation、Sigstore生态

CosignSigstoreNotation

镜像扫描策略

准入控制器、Kubernetes动态准入控制

准入控制Kubernetes

运行时防护

Falco检测恶意行为、Tracee监控系统调用

FalcoTracee运行时

软件供应链等级保护

SLSA框架、Build Attestations

SLSABuild Attestations

in-toto与元数据

in-toto布局、链接元数据、验证链路

in-toto元数据

内部源管理

私有仓库（Nexus、Artifactory）安全配置

NexusArtifactory私有仓库

第三方组件评估

许可证合规（FOSSA、LicenseFinder）

依赖混淆攻击

原理、检测、防御（npm、pip、Maven）

依赖混淆npmpip

Typo-squatting攻击

案例、检测工具（typofinder）

Typo-squattingtypofinder

恶意包分析

静态分析、动态沙箱、行为检测

静态分析沙箱行为检测

供应链事件响应

应急流程、溯源分析、根因定位

事件响应溯源

合规与审计

SOC2、ISO 27001、FedRAMP供应链要求

SOC2ISO 27001FedRAMP

供应链安全成熟度模型

BSIMM、OpenSSF Scorecard

OpenSSF最佳实践、社区协作

开源治理OpenSSF

从SBOM到修复的完整端到端流程

端到端实战

AI生成代码的供应链风险、零信任供应链

AI风险零信任