supply-chain-security

Supply Chain Security Testing

ACTION REQUIRED（读完后立刻execute）

1. NOW: read ../field-journal/precedent-pentest.md — 确认本 skill 的operation是已authorization的常规operation
2. NOW: 确认当前task是否hit本 skill 的适用scope
3. NEXT: read ../tool-index.md，checksumtoolavailable性和实际path
4. NEXT: 缺tool时调用 bootstrap，不要猜path
5. ACT: 进入"工作流"第一步并execute，不要停在确认status

SBOM / SCA / CI/CD 管道 / dependencyattribution 法规driver：美国行政令 SBOM、中国国标、EU CRA

Use Cases

• 软件supply chain安全评估
• open sourcedependencyvulnerability扫描与验证
• CI/CD 管道安全审计
• container镜像安全分析
• 第三方component合规审查
• build产物attribution与完整性验证

六层supply chain治理framework

Layer 1: 源码信任评估 → 上游仓库/维护者/发布历史审查
Layer 2: build管道集成 → CI/CD 安全门禁、signature验证
Layer 3: 制品分发完整性 → signature、checksum和、SBOM 附加
Layer 4: run时保护 → container扫描、准入控制
Layer 5: 持续monitoring → CVE 实时追踪、vulnerability可达性分析
Layer 6: 事件response → supply chain攻击应急、回滚policy

工作流

1. SBOM generate与审计

generate SBOM：
□ CycloneDX 格式: cdxgen → bom.json
□ SPDX 格式: sbom-tool generate
□ Syft: syft <image|dir> -o spdx-json

审计要点：
□ 是否存在未知/unauthorized的dependency
□ 是否存在已废弃/stop维护的包
□ License冲突detection
□ 直接dependency vs 传递dependencymanifest
□ 每个component的发布timeline和维护者status

2. 软件组成分析（SCA）

# OSV-Scanner（free、Google 维护）
osv-scanner scan -r . --format json

# OWASP Dependency-Track（企业级持续monitoring）
docker run -p 8080:8080 dependencytrack/apiserver
# → upload SBOM → automaticmatch NVD/OSV/GitHub Advisory

# Snyk（commercial）
snyk test --all-projects
snyk monitor  # 持续monitoring

# Trivy（container + dependency + IaC）
trivy fs .          # file系统扫描
trivy image nginx   # container镜像
trivy config .      # IaC configuration

3. vulnerability可达性验证

SCA alert ≠ 实际risk！大多数 SCA tool只有 ~15% 的alert是实际可达的。

验证step：
1. 用 Dependency-Track 或 Trivy 获取 CVE 列表
2. 筛选 CVSS ≥ 7.0 的vulnerability
3. 对有 PoC 的 CVE 做可达性分析
   - Code Property Graph 切片: 追踪用户input到vulnerability函数的path
   - DEPTEX 方法: EPD (Execution Path Dominance) + LLM 语义验证
4. 在隔离environment中验证 PoC
5. 对可达的vulnerability按实际影响排序remediationpriority级