软件供应链安全.

保护软件生产链中每一个环节——源代码、依赖、构建、签名、分发与部署——使其免受篡改、恶意代码与完整性破坏的学科。 它属于网络安全的 应用安全 分类。

保护软件生产链中每一个环节——源代码、依赖、构建、签名、分发与部署——使其免受篡改、恶意代码与完整性破坏的学科。

软件供应链安全将代码视为由众多来源组装而成,而不是从头编写。它涵盖源代码仓库保护、开发者身份、安全的 CI/CD、依赖治理、SBOM 与 CBOM 的生成、签名与验证(Sigstore、Cosign、in-toto)、按照 SLSA 进行的来源证明、漏洞管理、机密管理以及在部署阶段执行策略。这一学科是在 SolarWinds、Codecov、Log4Shell、XZ Utils 以及依赖混淆等事件推动下兴起的。相关框架与指南包括 SLSA、NIST SSDF (SP 800-218)、CISA Secure by Design、美国第 14028 号行政令以及欧盟《网络韧性法案》,它们的共同方向是建立可签名、可验证、透明的流水线。

针对 软件供应链安全 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: 软件供应链, 构建链安全。