VIP14

本课程属于：021-渗透测试与漏洞治理 网络通信与数字安全工程 · 共 14 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

供应链安全漏洞自动化排查实战

📚 共计 30 章节

供应链安全概述

什么是软件供应链 · 供应链攻击典型场景 · 为什么自动化排查是刚需

威胁模型分析

STRIDE模型在供应链中的应用 · 攻击树分析 · 信任边界划分

威胁建模STRIDE

SBOM（软件物料清单）基础

SBOM定义与格式 (SPDX, CycloneDX) · 生成工具 (syft, cyclonedx-maven-plugin)

syft生成容器镜像SBOM · cyclonedx-maven-plugin生成Java项目SBOM · 验证与签名

依赖扫描工具（一）

OWASP Dependency-Check安装配置 · Maven/Gradle集成 · 误报处理技巧

Dependency-CheckJava

依赖扫描工具（二）

Snyk CLI使用 · Snyk与CI/CD集成 · Fix PR机制

依赖扫描工具（三）

Trivy漏洞扫描 · IaC扫描 · SBOM扫描

依赖扫描工具（四）

Grype与Vunnel联动 · 自定义漏洞库 · 离线扫描方案

容器镜像安全

Dockerfile最佳实践 · 镜像分层分析 · Docker Scout安全分析

代码仓库安全

GitHub Dependabot配置 · GitLab Dependency Scanning · Bitbucket Pipelines集成

仓库Dependabot

CI/CD管道安全

Jenkins Pipeline嵌入安全扫描 · GitHub Actions安全工作流 · GitLab CI安全模板

策略即代码 (Policy as Code)

OPA定义供应链安全策略 · Rego语言入门 · 策略自动化测试

签名与验证

GPG签名原理 · cosign容器镜像签名 · notary内容信任

软件供应链等级保护

SLSA框架详解 · Level 1-4实践路径 · 生成SLSA Provenance

SLSA等级保护

漏洞数据库管理

NVD · GitHub Advisory Database · OSV.dev API · 本地漏洞库搭建

自动化修复策略

自动创建Fix PR · 依赖版本锁定 · 灰度发布与回滚

供应链安全监控

持续监控方案 · 告警规则配置 · SIEM集成 (Splunk/ELK)

第三方组件审计

商业组件扫描 (Black Duck, FOSSA) · 开源许可证合规 (FOSSA, LicenseFinder)

审计许可证

供应链攻击案例分析（一）

SolarWinds事件深度剖析 · 攻击链还原 · 防御措施总结

案例SolarWinds

供应链攻击案例分析（二）

Codecov事件 · log4j漏洞 · 从事件提炼自动化排查需求

供应链安全工具链整合

工具链选型原则 · 编排 (Tekton, Argo Workflows) · 统一报告输出

工具链Tekton

供应链安全自动化平台设计

平台架构 · 数据流设计 · API设计 (RESTful/GraphQL)

供应链安全指标与度量

MTTR · 漏洞密度 · SBOM覆盖率 · 策略合规率

供应链安全合规

ISO 27001 · SOC 2 · NIST SP 800-53 · 自动化合规检查

供应链安全与DevSecOps文化

安全左移 · 开发者体验优化 · 安全培训与红蓝对抗

DevSecOps文化

自动化脚本开发（一）

Python批量扫描依赖 · 生成报告 · 发送告警

自动化脚本开发（二）

Python解析SBOM · 与Jira/ServiceNow集成创建工单

自动化脚本开发（三）

自定义漏洞扫描器 · 基于机器学习的异常依赖检测

机器学习扫描器

供应链安全应急响应

自动化事件响应流程 · 隔离受感染组件 · 回滚到安全版本

课程总结与未来展望

供应链安全趋势 · 零信任供应链 · AI在供应链安全中的应用