友情鏈接:
合作聯(lián)系
|
ASPEN培訓(xùn)課程
?模塊1：軟件供應(yīng)鏈安全概述?
1.??定義與重要性?
o?什么是軟件供應(yīng)鏈？
o?軟件供應(yīng)鏈攻擊的典型案例（SolarWinds、Log4j等）
o?為什么軟件供應(yīng)鏈安全是數(shù)字化轉(zhuǎn)型的核心？
2.??關(guān)鍵環(huán)節(jié)與風(fēng)險(xiǎn)全景圖?
o?開發(fā)階段（代碼、依賴庫(kù)、工具鏈）
o?分發(fā)階段（包管理器、鏡像倉(cāng)庫(kù)）
o?部署階段（CI/CD管道、運(yùn)行時(shí)環(huán)境）
?
?
?模塊2：常見攻擊類型與威脅建模?
1.??攻擊面分析?
o?第三方組件漏洞（NPM/PyPI惡意包）
o?構(gòu)建工具篡改（編譯器、CI/CD投毒）
o?升級(jí)劫持（域名劫持、中間人攻擊）
2.??威脅建模實(shí)踐?
o?STRIDE模型在供應(yīng)鏈中的應(yīng)用
o?繪制軟件供應(yīng)鏈數(shù)據(jù)流圖（DFD）
?
?
?模塊3：安全開發(fā)實(shí)踐（DevSecOps）??
1.??安全編碼與依賴管理?
o?如何選擇可信的開源組件（SCA工具：Snyk/Dependabot）
o?軟件物料清單（SBOM）生成與審計(jì)（SPDX、CycloneDX）
2.??構(gòu)建環(huán)境加固?
o?隔離構(gòu)建環(huán)境（容器化/沙箱）
o?構(gòu)建工具簽名驗(yàn)證（如GitHub Actions的認(rèn)證）
?
?
?模塊4：供應(yīng)鏈安全工具鏈?
1.??靜態(tài)與動(dòng)態(tài)分析?
o?靜態(tài)應(yīng)用安全測(cè)試（SAST）工具（SonarQube/Semgrep）
o?動(dòng)態(tài)分析（DAST）與交互式（IAST）工具
2.??二進(jìn)制審計(jì)與溯源?
o?二進(jìn)制成分分析（BCA）
o?代碼簽名與驗(yàn)簽（Sigstore/Cosign）
?
?
?模塊5：合規(guī)與標(biāo)準(zhǔn)?
1.??國(guó)際標(biāo)準(zhǔn)與框架?
o?NIST SSDF（安全軟件開發(fā)框架）
o?SLSA（供應(yīng)鏈級(jí)別安全架構(gòu)）分級(jí)實(shí)踐
o?ISO/IEC 27034應(yīng)用安全標(biāo)準(zhǔn)
2.??法規(guī)要求?
o?中國(guó)《網(wǎng)絡(luò)安全法》與《軟件供應(yīng)鏈安全要求》
o?美國(guó)EO 14028（改善國(guó)家網(wǎng)絡(luò)安全行政令）
?
?
?模塊6：應(yīng)急響應(yīng)與恢復(fù)?
1.??事件處理流程?
o?漏洞披露與響應(yīng)（PSIRT團(tuán)隊(duì)組建）
o?供應(yīng)鏈攻擊的取證與溯源
2.??災(zāi)后復(fù)盤?
o?制定回滾與修復(fù)策略
o?案例研討：真實(shí)供應(yīng)鏈攻擊的恢復(fù)過(guò)程
?
?
?模塊7：企業(yè)級(jí)落地實(shí)踐?
1.??組織架構(gòu)與流程設(shè)計(jì)?
o?供應(yīng)鏈安全職責(zé)劃分（開發(fā)/運(yùn)維/安全團(tuán)隊(duì)協(xié)作）
o?供應(yīng)商安全評(píng)估問卷（VSAQ）
2.??紅隊(duì)演練?
o?模擬供應(yīng)鏈攻擊（如依賴庫(kù)投毒演練）
o?攻防對(duì)抗實(shí)戰(zhàn)（Capture The Flag場(chǎng)景）
?
?
?模塊8：未來(lái)趨勢(shì)與擴(kuò)展?
1.??新興技術(shù)挑戰(zhàn)?
o?AI生成代碼的安全風(fēng)險(xiǎn)
o?云原生供應(yīng)鏈安全（OCI鏡像、Serverless函數(shù)）
2.??行業(yè)協(xié)作?
o?加入OpenSSF等開源安全倡議
o?共享威脅情報(bào)（如CHAOSS數(shù)據(jù)庫(kù)）
