1、供应链安全概述：什么是软件供应链、供应链攻击的典型场景、为什么自动化排查是刚需

大家好，我是你们这堂课的主讲人。在安全这个行当摸爬滚打了十几年，从传统安全做到云原生，再到现在的供应链安全，我最大的感受就是：攻击者的手，伸得越来越长了。

以前我们防病毒、防黑客，那是防“外人”。现在呢？攻击者开始盯上你的“供应商”了。你想想看，你辛辛苦苦写的代码，可能因为引了一个被污染的第三方包，整个系统就沦陷了。这，就是供应链安全要解决的问题。

1.1 什么是软件供应链？

说白了，软件供应链就是你的软件从“出生”到“运行”所经历的所有环节。它不只是你写的那些代码。

我习惯把它拆成三个部分来看：

• 开发环节：源代码、第三方库、开源组件、容器镜像、CI/CD 工具链。
• 交付环节：制品仓库、包管理器（npm, PyPI, Maven）、构建产物。
• 运行环节：运行时环境、操作系统、依赖的底层服务。

任何一个环节被污染，整个链条上的所有下游系统都会遭殃。嗯，这里要注意，你信任的不是某个组件，而是整个链条。

1.2 供应链攻击的典型场景

光说概念太虚了，我给大家讲几个真实发生过的场景。这些案例，我在做安全审计时都反复研究过。

场景一：依赖混淆攻击

这是最“朴实”但最有效的攻击方式。攻击者把恶意包的名字起得跟企业内部私有包一模一样，然后上传到公共仓库（比如 PyPI、npm）。

我记得有个案例，某大厂的构建脚本里配错了源地址，结果拉下来的不是内部的安全包，而是攻击者上传的恶意包。一次构建，全线失守。

场景二：开源组件投毒

攻击者向流行的开源项目提交恶意代码，或者直接维护一个带有后门的“山寨”版本。你下载了，就等于把后门请进了家。

为什么会这样？因为很多开发者只看功能，不看代码。我见过一个项目，引了 200 多个依赖，但没人知道这些依赖具体干了什么。

场景三：CI/CD 管道劫持

攻击者通过钓鱼或漏洞，拿到了你 CI/CD 工具的凭证。然后，他不动你的代码，只改你的构建脚本。比如，在编译时偷偷插入一段挖矿代码。

这种攻击最难防，因为你看到的是干净的源码，但产出的却是带毒的制品。

攻击类型	攻击目标	典型后果
依赖混淆	包管理器、构建脚本	引入恶意包，数据泄露
组件投毒	开源仓库、镜像源	后门植入，远程控制
管道劫持	CI/CD 工具、凭证	制品被篡改，供应链污染

1.3 为什么自动化排查是刚需？

你可能会问：“我手动检查一下依赖不就行了？”

嗯，我刚开始做安全时也这么想。直到我接手了一个有 500 个微服务的项目，每个服务平均依赖 100 个包。你算算，这是多少个依赖？5 万个！

手动查？查完黄花菜都凉了。而且，漏洞是动态的。今天安全的包，明天可能就爆出高危漏洞。你不可能天天手动去翻 CVE 数据库。

所以，自动化排查不是“锦上添花”，而是生存刚需。原因有三：

1. 速度：机器扫描一个项目，几秒钟就能出结果。人工？几个小时起步。
2. 覆盖面：自动化工具能检查所有依赖的依赖（也就是传递依赖）。人工很难做到这一点。
3. 持续性：自动化可以集成到 CI/CD 流水线里，每次提交代码、每次构建，都自动扫描一遍。这才能做到“持续安全”。

我个人习惯把自动化排查比作“安检机”。你不可能让每个乘客都开箱检查，但你可以让所有行李都过一遍安检机。又快又准，还能留下记录。

好了，这一章我们理清了供应链安全的基本概念和为什么必须自动化。下一章，我会带大家动手搭建一个自动化的依赖扫描流水线。到时候，咱们用代码说话。