供应链安全案例研究 | 电信企业软件供应链安全能力建设落地|自动化|运维

运营商是移动通信和云计算等前沿通信技术使用的典型用户，关注创新性技术应用，但同时也需要采用创新性安全解决方案，以积极应对各类新型的攻击技术、手段及其风险。在软件供应链攻击事件频发的背景下，“加强供应商安全管理。建立供应商安全管理工作制度，定期梳理和更新供应商企业、产品、人员清单，对设计、开发、建设、运维等第三方服务实施管理，防止发生第三方网络安全事件。”成为《基础电信企业网络与信息安全工作考核要点与评分标准》的一项重点考核要求，并提出对未落实该要求的，给予相应处罚。

安全牛在近期开展的《软件供应链安全能力构建指南（2024版）》报告研究过程中，对某省电信企业软件供应链安全能力建设项目进行了调研分析，并从用户需求、方案设计、方案建设及运营等维度，对项目实际建设经验和特点进行了研究总结。

本案例正式收录于《软件供应链安全能力构建指南（2024版）》，项目由绿盟科技集团股份有限公司建设实施，并提供案例研究支持。

项目背景

本案例用户为某省电信企业单位，其软件主要由第三方开发，存在软件成分模糊，缺乏组件版本、关联组件情况、许可证信息等信息的问题；对组件来源不清晰，管理较混乱，无法确定来源进行精细化开源组件风险管控。用户缺乏软件物料清单SBOM检测手段，软件供应链资产无法有效管控，风险及漏洞修复率较低，不满足相关考核要求。

该单位希望通过软件供应链安全能力建设项目实现以下3个建设目标：

（1）软件供应链安全能力建设，具备供应链资产风险可视化管理能力；

（2）构建满足行业特点和业务场景的供应链知识库，收集和挖掘领域性组件安全的重要情报信息；

（3）能灵活对接各种检测工具，对存量的各种软件供应链资产进行风险检测。

解决方案

绿盟科技在该项目中，为用户提供的软件供应链安全解决方案包括平台、服务以及与安全运营平台联动的能力三部分。覆盖了软件供应链资产管理、企业管理、开源组件识别、软件安全评估、软件物料清单、安全风险自动化预警六部分。

绿盟软件供应链安全运营管理架构系统框图

供应链资产管理主要识别、收集关键供应链资产，包括操作系统、数据库、办公软件等，并明确是否与公司的关键业务有关；
供应链企业管理识别并收集软件供应商、技术检测方、设计建设方、安全测试方、网络运维方、安全产品供应商等角色相关信息；
开源组件识别通过对源代码进行遍历和提取，收集各个文件的属性特征，通过对比组件库规则，找出源代码中使用的开源组件；
软件安全评估从漏洞扫描、源代码审计、开源组件风险分析等多个角度，全面开展软件安全评估，识别软件风险；
软件物料清单生成展示任务检测出的软件物料清单（SBOM），支持多种SBOM格式导出，如Excel、CycloneDx、SPDX、SWID；
安全风险自动化预警与CVE、CNCVE、CNNVD、CNVD等主流标准漏洞库，外部威胁情报库交互，实现风险预警、风险关联展示、风险处置一体化的网络安全风险自动化管理解决方案。