思政融入點(diǎn)
認(rèn)識(shí)代碼來(lái)源管理在維護(hù)軟件供應(yīng)鏈安全中的基礎(chǔ)性作用，樹(shù)立每一行代碼都可追溯的責(zé)任意識(shí)，理解軟件供應(yīng)鏈安全對(duì)國(guó)家安全的戰(zhàn)略意義，培養(yǎng)維護(hù)核心技術(shù)自主可控的使命感，掌握構(gòu)建多層次軟件供應(yīng)鏈安全防護(hù)體系的方法論。
核心內(nèi)容
本課程聚焦文件包含漏洞的安全防護(hù)，重點(diǎn)在于從軟件供應(yīng)鏈安全的視角審視代碼來(lái)源管理的重要性。教師首先系統(tǒng)講解安全文件包含的規(guī)范實(shí)踐：采用絕對(duì)路徑以避免路徑遍歷風(fēng)險(xiǎn)、基于白名單的嚴(yán)格包含控制、對(duì)用戶(hù)輸入進(jìn)行多重驗(yàn)證、選擇具備安全特性的包含函數(shù)。每個(gè)安全實(shí)踐都通過(guò)對(duì)比演示展現(xiàn)其價(jià)值，讓學(xué)生直觀(guān)理解路徑控制對(duì)安全的關(guān)鍵作用。在“Web應(yīng)用軟件供應(yīng)鏈安全審計(jì)”實(shí)踐環(huán)節(jié)中，學(xué)生將對(duì)一個(gè)包含復(fù)雜依賴(lài)關(guān)系的模擬企業(yè)應(yīng)用進(jìn)行深度審計(jì)。該應(yīng)用使用了多個(gè)第三方庫(kù)，學(xué)生需要建立完整的軟件物料清單，逐一審查每個(gè)庫(kù)的來(lái)源可信度、版本狀態(tài)、已知漏洞以及使用方式。審計(jì)完成后，學(xué)生需撰寫(xiě)詳細(xì)的供應(yīng)鏈安全風(fēng)險(xiǎn)報(bào)告，提出具體的加固建議。這一過(guò)程培養(yǎng)學(xué)生嚴(yán)謹(jǐn)細(xì)致的供應(yīng)鏈安全意識(shí)和風(fēng)險(xiǎn)管理能力。深度拓展部分聚焦軟件供應(yīng)鏈安全的國(guó)家戰(zhàn)略意義。教師深入剖析近年來(lái)震驚全球的軟件供應(yīng)鏈攻擊事件。通過(guò)案例教學(xué)，學(xué)生將理解供應(yīng)鏈攻擊的三大特征：攻擊鏈長(zhǎng)隱蔽性強(qiáng)、影響范圍呈指數(shù)級(jí)擴(kuò)散、防范難度遠(yuǎn)超傳統(tǒng)攻擊?；谶@一認(rèn)知，課堂開(kāi)展“多層次軟件供應(yīng)鏈安全體系建設(shè)”戰(zhàn)略研討。通過(guò)系統(tǒng)性討論，學(xué)生將建立從代碼行到國(guó)家安全的宏觀(guān)視野，深刻理解軟件供應(yīng)鏈安全不僅是技術(shù)問(wèn)題，更是關(guān)乎國(guó)家發(fā)展和安全利益的戰(zhàn)略性課題，是必須筑牢的數(shù)字時(shí)代“基石工程”。
教學(xué)應(yīng)用建議
1. 要求學(xué)生使用SCA（軟件成分分析）工具對(duì)真實(shí)開(kāi)源項(xiàng)目進(jìn)行分析，構(gòu)建完整的軟件物料清單，識(shí)別供應(yīng)鏈風(fēng)險(xiǎn)，并提出治理方案，掌握現(xiàn)代供應(yīng)鏈安全分析工具與方法。
2. 模擬軟件供應(yīng)鏈攻擊場(chǎng)景，讓學(xué)生分組扮演攻擊方和防御方，體驗(yàn)供應(yīng)鏈攻擊的實(shí)施與防御全過(guò)程，深刻理解攻擊鏈的隱蔽性與防御的全局性、系統(tǒng)性。
