信创百科：什么是软件供应链安全？SBOM入门
核心提示：软件供应链攻击频发，SBOM（软件物料清单）成为政企软件采购的新热词。本文科普供应链安全概念、SBOM作用与落地要点。
一、什么是软件供应链攻击
现代软件很少从零编写——一个应用可能由自研代码+成百上千个开源组件/第三方库组装而成。攻击者不再正面攻击目标，而是污染上游组件（在开源库中植入恶意代码、劫持更新通道），随正常分发进入千家万户。这就是软件供应链攻击，近年的知名开源投毒、软件更新劫持事件都属此类。
二、SBOM：软件的“配料表”
SBOM（Software Bill of Materials，软件物料清单）= 软件包含的所有组件的清单：组件名、版本、许可证、来源、已知漏洞。就像食品包装上的配料表，没有配料表，出了问题根本不知道自己“吃”了什么。
典型格式：SPDX、CycloneDX（国际主流标准）。当某开源组件爆出高危漏洞（如曾经的Log4j事件）时，有SBOM的组织能在数小时内排查完全部受影响系统，没有的组织可能数周都查不清。
三、为什么政企采购开始要SBOM
- 责任界定：供应商交付的软件里含哪些组件、什么许可证、有无已知漏洞——白纸黑字；
- 应急效率：漏洞爆发时快速定位受影响范围；
- 合规趋势：软件供应链安全管理要求日趋严格，关基行业先行。
四、落地三步
- 生成：构建流水线中自动生成SBOM（主流构建工具与商业扫描平台均支持）；
- 检测：SBOM对接漏洞库，持续比对组件漏洞；
- 治理：建立组件准入规范（许可证黑名单、漏洞阈值），与DevOps流程整合。
五、结语
信创替代大量引入开源组件，供应链安全是替代工程的"隐形地基"——SBOM就是那份地基图纸。信创百科持续更新，欢迎社区提问。
相关评论
查看更多更多>同类信创资讯
{php
$_jsonld = array(
'@context' => 'https://schema.org',
'@type' => 'Article',
'headline' => $title,
'description' => isset($introduce) && $introduce ? $introduce : $title,
'image' => array(isset($thumb) && $thumb ? $thumb : $DT['logo']),
'datePublished' => date('c', $addtime),
'author' => array('@type' => 'Organization', 'name' => $DT['sitename']),
'publisher' => array('@type' => 'Organization', 'name' => $DT['sitename'], 'logo' => array('@type' => 'ImageObject', 'url' => $DT['logo'])),
'mainEntityOfPage' => array('@type' => 'WebPage', '@id' => $DT['url'].$MOD['moduledir'].'/show-'.$itemid.'.html'),
);
if(isset($edittime) && $edittime) $_jsonld['dateModified'] = date('c', $edittime);
echo '';
}
暂时没有评论，来说点什么吧