① 项目背景
稀土高新区一家医院的信息科，Log4j漏洞通报下来那天，科长挨个给厂商打电话问「你们系统用没用」，打了十四个电话，八个说没用，两个说不清楚，四个说等通知。等了三天，没有一个准确答复。信息科一共七个人，管着四十七个系统，谁也不知道哪个包里藏着哪个版本的jar。
② 咨询设计
这事靠问是问不出来的，得有清单。SBOM用CycloneDX 1.5格式，自研系统在CI里加一步，Syft扫镜像和文件系统生成清单，Grype做漏洞匹配，Dependency-Track做持续管理，每次构建自动上传。采购的系统没有源码，用黑盒指纹识别加厂商提供，合同里加一条：交付时必须给SBOM，不给不验收。四十七个系统分三类：二十一个有源码，二十六个是采购的，先把有源码的跑通，再逼供应商。
③ 施工规划
先建组件白名单和黑名单，黑名单里是已知停止维护的包，比如老版本struts、fastjson 1.2.24以下。CI流水线里加卡点，检出黑名单组件直接构建失败，不允许「先上线后补」。采购系统的SBOM手工录入，字段统一，版本号精确到补丁号。每季度做一次全量重扫，漏洞库更新后自动比对，新增的高危自动开工单。清单要能回答三个问题：这个系统用了什么、哪个版本、谁负责。答不上来就是没做。镜像类系统每周重扫一次，因为基础镜像一更新，里面的openssl、glibc版本就变了，季度扫根本追不上。
④ 安全补丁
SBOM本身是敏感信息，列着所有组件和版本，泄露出去等于给攻击者一份作战地图，所以只在内网流转，访问要审批。漏洞处置定SLA：严重24小时、高7天、中30天。Log4j这类影响面大的，要求30分钟内定位影响范围，靠的就是这份清单。另外把组件的许可证也一并记上，开源协议冲突惹的官司，比漏洞更麻烦。
⑤ 验收交付
四十七个系统全部有SBOM，覆盖率百分之百。做了一次演练：模拟某组件爆出0day，从接到通报到列出受影响系统清单，用时18分钟，之前是两天。高危组件从六十三个降到四个，剩下的是厂商系统，已发整改函。交付一份组件治理规范，写清楚新系统上线前必须过SBOM卡点。
⑥ 售后承诺
漏洞通报不挑时间，我们承诺2小时响应，重大漏洞通宵处置。大年三十电话不关机，17704868686。SBOM模板和CI脚本终身免费维护，新系统接入，我们帮你把流水线配好。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）