软件供应链安全关注从开发到部署全链路中第三方组件、工具、服务的安全风险——SolarWinds、Log4j等事件证明，攻击者正越来越多地通过供应链"侧面攻击"而不是直接攻击目标。
| 环节 | 风险 | 银行应对 |
|---|---|---|
| 开源依赖 | 恶意包投毒、已知CVE | 依赖扫描、版本锁定 |
| CI/CD管道 | 流水线注入、密钥泄露 | Pipeline签名、凭证管理 |
| 第三方SDK | SDK后门、数据外传 | SDK安全审计、沙箱运行 |
| 软件更新 | 更新包篡改、降级攻击 | 签名验证、更新链保护 |
操作：扫描项目所有依赖，识别已知漏洞版本
工具：OWASP Dependency-Check、Trivy、Snyk
操作：检查依赖包中的可疑行为（安装后执行脚本、域名请求）
工具：Package Guard、Socket.dev