📦 审查要点之供应链安全

供应链安全是网络安全审查中的核心环节，重点关注产品和服务从开发、交付到运维全生命周期的完整性、可信度与可控性。攻击者常通过污染上游组件、植入后门或篡改代码来突破防线，因此必须建立严格的审查机制。

1. 产品和服务供应链的完整性

确保所采购的产品或服务在传输、存储、部署过程中未被篡改或植入恶意功能。审查要点包括：

• 来源验证：确认供应商身份、资质及安全信誉，要求提供数字签名或哈希校验值。
• 交付链保护：使用加密通道传输，记录交付日志，实施完整性校验（如SHA-256）。
• 持续监控：建立供应链风险清单，定期审计供应商安全实践。

2. 代码安全

审查源代码及二进制文件的安全性，防止恶意代码注入、逻辑后门及敏感信息泄露。关键措施：

• 静态代码扫描（SAST）：检测硬编码密钥、SQL注入、缓冲区溢出等缺陷。
• 动态分析（DAST）：运行时监控异常行为，如未授权网络连接或文件修改。
• 代码签名：要求所有可执行文件使用可信证书签名，确保来源可追溯。

3. 第三方组件风险

现代软件大量依赖开源或商业第三方组件，这些组件可能引入已知漏洞或恶意依赖。审查要点：

• 漏洞数据库匹配：使用NVD、GitHub Advisory等数据库扫描组件版本。
• 许可证合规：检查GPL、MIT等许可证是否与业务模式冲突。
• 依赖链分析：识别传递依赖（依赖的依赖），避免“千里之堤溃于蚁穴”。

风险类型	典型示例	应对策略
已知漏洞	Log4j2 RCE (CVE-2021-44228)	及时升级补丁，使用SBOM追踪
恶意包	npm事件（colors.js被篡改）	锁定版本，镜像源校验
许可证冲突	GPL传染性导致闭源风险	法务审核，替换兼容许可组件

4. 软件物料清单（SBOM）管理

SBOM是供应链安全的“成分表”，详细列出软件中包含的所有组件、版本及依赖关系。审查要求：

• 格式标准化：采用SPDX、CycloneDX或SWID格式，便于自动化解析。
• 完整性：必须包含直接依赖与传递依赖，注明组件来源（如Maven Central、npm）。
• 动态更新：每次版本发布或补丁更新时同步生成新SBOM，并与漏洞库联动。

5. 综合应对策略

结合上述要点，企业应建立以下机制：

1. 供应商准入审查：要求提供SBOM及安全自评报告，纳入合同条款。
2. 自动化工具链：集成SCA（软件组成分析）、SAST/DAST工具到CI/CD流水线。
3. 应急响应预案：针对供应链漏洞（如SolarWinds事件）制定快速隔离与修复流程。
4. 定期演练：模拟供应链攻击场景，检验检测与响应能力。

💡 核心提示：供应链安全不是一次性审查，而是需要贯穿产品全生命周期的持续管理。SBOM是基础，自动化工具是抓手，供应商协同是关键。