一、什么是软件供应链安全
软件供应链安全（Software Supply Chain Security）是保障从源代码、第三方依赖、构建工具、制品仓库到部署上线全链路可信与完整的安全治理体系，针对的是近年来频发的「上游投毒」「构建劫持」「恶意依赖」等高级攻击。它把传统应用安全扩展到软件全生命周期每个环节，强调 SBOM、软件签名、可复现构建、SLSA 等级与持续验证，是国家安全与企业数字化共同关注的关键议题。
二、原理
1. SBOM 管理：自动生成、维护与分发软件物料清单 → 2. 依赖安全：第三方依赖漏洞扫描与许可证合规 → 3. 代码签名与验证：Sigstore、cosign 等签名与验签机制 → 4. 可复现构建：SLSA 等级构建链路溯源与防篡改 → 5. 制品仓库安全：私有仓库访问控制、镜像签名与扫描 → 6. 持续监测与响应：上线后依赖漏洞持续监测与自动修复
三、信息卡片
| 中文名 | 软件供应链安全 |
| 英文名 | Software Supply Chain Security |
| 缩写 | SCA |
| 别名 | 软件供应链安全 |
| 提出者 | 2022 年 Sigstore、CycloneDX 等开源 |
| 提出时间 | 2018 年 |
| 所属类别 | 网络与安全 > 网络与安全 |
| 核心技术 | 保障从代码到制品全链路可信的安全治理体系 |
| 主要应用 | 保障从代码到制品全链路可信的安全治理体系 |
四、历史时间线
- 2018 年 Event-Stream 投毒事件引发行业关注。
- 2020 年 SolarWinds 供应链攻击震动全球。
- 2021 年美国总统行政令与 SLSA 框架推动供应链安全标准化。
- 2022 年 Sigstore、CycloneDX 等开源项目形成事实标准。
五、分类
- 网络通信层：传输协议、路由与软件定义网络
- 边界防护层：防火墙、WAF、入侵检测/防御
- 身份与访问层：身份认证、零信任、特权管理
- 数据与应用层：数据安全、应用安全、API 安全
- 运营与治理层：安全运营、合规审计、威胁情报
六、应用场景
- 金融、政务、医疗等高合规行业
- 云原生与容器化环境
- API 与微服务架构防护
- 零信任与远程办公接入
- 安全运营与威胁响应中心
七、优缺点
- 优点：
- 降低供应链风险：典型可减少 70% 左右的第三方依赖引入风险
- 满足合规要求：满足关基行业与监管对供应链透明度的要求
- 支撑事件响应：SBOM 与签名使事件影响面分析显著加速
- 建立开发者信任：清晰的来源与构建链路提升软件可信度
- 促进生态合作：标准化 SBOM 与签名机制促进跨组织协作
- 缺点：
- 攻防不对称：攻击者只需找一个漏洞，防御者需覆盖所有面
- 合规与业务冲突：过严安全策略可能影响业务体验与开发效率
- 专业人才稀缺：高端安全岗位供需失衡，团队组建成本高
- 评测标准不统一：高级威胁检测难以像传统软件测试那样标准化
八、常见误区
- 买了安全产品就安全（错：安全是流程、人员、技术三位一体的体系）
- 小公司不会被攻击（错：自动化攻击不分企业大小）
- 加密能解决所有数据安全问题（错：还需配套访问控制、审计与脱敏）
- 安全会影响业务效率（错：合理设计的安全策略对用户几乎透明）
九、关联概念
- 父概念：AI安全、SIEM · 安全信息与事件管理
- 子概念：SOC · 安全运营中心、供应链安全 SBOM
- 兄弟概念：SASE 安全访问服务边缘、API安全
- 对比概念：零信任 Zero Trust、API · 应用程序接口
- 应用相关：API 网关、RESTful API
