信息安全资料6-工赋砺网-企业软件供应链安全治理思路与思考.pdfVIP

崔泷跃

墨菲安全联合创始人

售前/解决方案负责人

时间：2025年7月3日

目录

什么是软件供应链安全？如何做软件供应链安全

为什么要做软件供应链安全客户案例

软件供应链安全治理痛点

目录

什么是软件供应链安全？如何做软件供应链安全

为什么要做软件供应链安全客户案例

软件供应链安全治理痛点

企业IT建设涉及大量软件相关依赖

业务应用层自研代码|开源应用|开源组件|SDK|模型|•开源组件漏洞•应用通用漏洞

•开源组件投毒•代码质量缺陷

•算法缺陷

外部依赖层外部api|SaaS服务|商业软件|外部数据源•第三方泄露

•安全漏洞等等

工程效率层代码仓|流水线系统|依赖管理工具|集成开发环境|制品仓•编译过程投毒

•开发工具投毒

•劫持

数据处理层数据库|对象存储|数据仓库|缓存|数据分发|数据处理平台•数据库软件漏洞•不安全的配置

•未授权访问•命令执行

•数据库弱口令

运行环境层操作系统|编程语言运行时|应用服务器|容器运行时•操作系统漏洞

•容器镜像污染等

•云环境基础配置安全

基础设施层物理服务器|云主机|网络设备|虚拟机等•云自身安全风险

•虚拟环境穿透

供应链软件为企业带来严重安全威胁

私有源代码开发代码仓库

开源

组件

漏洞攻击

闭源自研

商业流程

开源

软件部署运行制品及镜像编译构建

投毒攻击