供应链安全：防住上游捅来的刀
导语：你守住了自家大门，攻击者却从你依赖的组件、服务商、镜像下手。供应链安全（Software Supply Chain）防护的是"借来的代码与信任"。
一、为什么要关注
现代政企系统高度依赖开源组件、第三方库、容器镜像与外部服务。一旦上游被投毒（如恶意包、被篡改镜像），危害随依赖链放大。信创替代中引入大量国产与开源软件，供应链更需审视。等保2.0关注外包与采购安全，密评GB/T 39786涉及重要系统的可信来源。供应链安全让"用了什么、来自哪、是否被改"全程可知。
二、核心原理
供应链安全核心是"可追溯+可验证"：SBOM（软件物料清单）列清每个组件及版本；签名与校验确保来源未被篡改；私有仓库统一收口依赖，阻断来路不明包；对服务商做安全评估与持续监测。关键是对"构建—分发—运行"全链路设信任根，任何环节变动可追溯、可阻断。
供应链安全的本质是"管理借来的信任"。你无法完全控制上游，但可以做到"可知、可验、可替"：用SBOM列清每个组件与版本，用私有仓库收口依赖阻断来路不明包，用签名校验保证来源未被篡改，并对供应商做安全与信创审查。一旦某组件被投毒，能快速定位影响面并替换，把风险控制在可接受范围。
三、落地做法/步骤
- 建SBOM：梳理自研与第三方组件清单。
- 私有收口：依赖统一走受控仓库。
- 签名校验：镜像与包须验签名才入。
- 服务评估：对供应商做安全与信创审查。
- 持续监测：订阅组件漏洞与投毒情报。
- 应急替换：受影响组件可快速降级/替换。
供应链安全要与信创替代（见99）结合：在引入国产组件时同步做来源审查与SBOM登记，避免"换芯"同时引入未知依赖。对关键组件保留多来源或兜底方案，降低单点被投毒的系统性风险。供应链的可信与透明，是信创自主可控的底层保障，也是合规的硬要求。
四、与群晖NAS/信创云盘的对应能力
供应链清单与签名密钥需安全留存。群晖DS1525+、DS1825+可作为SBOM、镜像与签名材料的集中备份；信创云盘（软件化部署、支持信创）可作为供应商评估、SBOM的共享空间，按角色授权、全程审计，满足等保2.0对采购/外包安全与密评GB/T 39786对重要系统可信来源的要求。
五、常见误区
- 依赖直接拉公网，来路不可控。
- 无SBOM，出事不知影响范围。
- 只验首次不验更新，后续被篡改。
六、小结与行动建议
从"私有仓库+SBOM"收口依赖，来源要可验、可溯、可替换。