VIP20

本课程属于：011-IEC62443标准 网络安全工程与攻防实战 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

软件组件安全风险评估与供应链选型

📚 共计 30 章节

组件安全概述

定义、重要性、安全风险来源（供应链攻击、漏洞、后门）

组件生命周期安全

开发、测试、部署、运维、废弃各阶段的安全要求

全周期DevSecOps

开源组件安全风险

已知漏洞（CVE）、许可证合规、维护状态、社区活跃度

商业组件安全评估

供应商安全资质、代码审计报告、安全更新承诺、SLA

组件选型基本原则

最小权限、默认安全、纵深防御、可追溯性

组件安全属性分析

身份认证、授权、加密、日志审计、输入验证

组件依赖关系管理

依赖树分析、传递性依赖风险、依赖锁定

组件版本管理策略

语义化版本、版本锁定、版本升级策略、安全补丁管理

组件来源可信度评估

官方仓库、镜像源、签名验证、哈希校验

组件许可证合规性

GPL、MIT、Apache、BSD、LGPL等许可证对比与兼容性

组件安全扫描工具

Snyk、OWASP Dependency-Check、Trivy、Black Duck

组件漏洞数据库

NVD、GitHub Advisory、OSS Index、VulDB

漏洞库情报

组件选型流程设计

需求分析、候选列表、评估矩阵、决策评审

组件安全评估矩阵

功能、性能、安全、成本、维护性、社区支持

组件安全测试方法

静态分析（SAST）、动态分析（DAST）、软件组成分析（SCA）

组件供应链安全

SBOM（软件物料清单）、签名、完整性验证、供应链攻击防御

容器镜像组件安全

基础镜像选择、镜像扫描、最小化镜像、镜像签名

前端组件安全

JavaScript库、CSS框架、第三方插件、跨站脚本（XSS）风险

后端组件安全

Web框架、数据库驱动、消息队列、缓存组件安全配置

移动端组件安全

SDK集成、权限管理、数据加密、第三方库安全

组件安全配置基线

默认配置修改、安全参数设置、禁用不必要功能

组件安全更新与补丁管理

自动更新、灰度发布、回滚策略、变更管理

组件废弃与替换策略

技术债务、兼容性、迁移路径、数据安全

组件安全文档与知识库

安全手册、最佳实践、常见问题、应急响应

组件安全审计与合规检查

内部审计、第三方审计、合规报告、整改跟踪

组件安全事件应急响应

漏洞通报、影响评估、修复方案、复盘总结

云原生组件安全

服务网格、API网关、配置中心、服务发现组件安全

云原生微服务

AI/ML组件安全

模型库、训练框架、推理引擎、数据管道组件安全

物联网（IoT）组件安全

固件组件、通信协议、硬件安全模块、OTA更新

组件安全未来趋势

零信任架构、软件供应链安全、AI辅助安全分析、标准化进程

趋势零信任