软件供应链安全

一个关于软件供应链安全的综合性三本书系列，涵盖威胁、防御和治理。这份开源手稿为安全专业人士、开发人员和组织领导者提供了保护现代软件开发实践的实际指导。

书籍系列

第一本：理解软件供应链

提供理解供应链安全的基础：现代软件如何构建、威胁格局、历史攻击以及详细的攻击模式。

• 第一部分 - 基础（第1-4章）：当今软件的构建方式、供应链威胁概述、历史攻击以及特定生态系统的风险
• 第二部分 - 攻击模式（第5-10章）：恶意包、依赖混淆、域名欺诈、构建系统攻击、内部威胁和社会工程学

第二本：保护软件供应链

将威胁知识转化为贯穿整个开发生命周期的实际防御措施，从依赖选择到生产部署。

• 第三部分 - 风险评估与测试（第11-15章）：风险衡量、SBOM、依赖管理、安全测试和红队演练
• 第四部分 - 防御与响应（第16-20章）：保护开发环境、CI/CD管道、分发渠道、事件响应和危机沟通
• 第五部分 - 防御制度化（第21-22章）：构建安全项目和平台工程方法

第三本：治理软件供应链

涉及供应链安全中的人员、政策和战略层面：组织承诺、法规合规、经济激励和行业协作。

• 第五部分 - 人员与组织（第23-25章）：培训与安全文化、开源维护者视角以及供应商风险管理
• 第六部分 - 法规与法律（第26-29章）：法规环境（EO 14028、欧盟CRA）、合规框架、法律考量及行业倡议
• 第七部分 - 背景与未来（第30-33章）：供应链安全经济学、地缘政治考量、其他行业的经验教训及未来方向

仓库结构

contents/
├── book1/                 # 第1-10章
│   └── chapter-XX/        # 每个章节目录包含：
│       ├── README.md      #   章节概览
│       ├── ch-X.Y.md      #   章节文件
│       └── img/           #   章节图片
├── book2/                 # 第11-22章
├── book3/                 # 第23-33章
├── appendices/            # 附录A-H
└── frontmatter/           # 作者信息、法律声明、模板

scripts/
├── build-all.sh           # 构建全部三本书
├── cover-generator.py     # 生成书籍封面
├── custom_template.latex  # 构建PDF的模板
└── verify_urls.py         # URL验证工具

构建PDF

前提条件

• Pandoc（文档转换器）
• XeLaTeX（PDF生成）
• ImageMagick（图像转换）
• Python 3.x（用于封面生成）

构建命令

构建全部三本书：

./scripts/build-all.sh

构建单本书：

./contents/book1/build-pdf.sh
./contents/book2/build-pdf.sh
./contents/book3/build-pdf.sh

生成的PDF输出在 scripts/ 目录中。

附录

贡献

欢迎贡献。在贡献时：

• 保持安全主题的技术准确性
• 引用事实声明和统计数据的来源
• 随意使用AI生成内容，但在提交拉取请求前必须阅读并理解其内容
• 使用一致的术语（参考附录A：术语表）
• 遵循现有的章节/节结构（ch-X.Y.md格式）
• 保持现实世界的示例具体且包含可验证的细节（名称、日期、影响）

此仓库包含Markdown质量和Zensical兼容性的自动化检查。详细指南请参见CONTRIBUTING.md，内容标准请参见CLAUDE.md。

许可证

本作品采用MIT许可证。您可以复制、修改、分发和使用本作品，包括商业用途，但需注明出处。