软件供应链安全:守护从提交到生产的全链路

企业级 GitLab 部署指南，对比 GitLab.com、Dedicated 与自托管三种模式，并就 Runner 规划、可用性、灾难恢复和大规模流水线性能给出建议。

Borg 认为发布流程中的安全审查排队本质是容量问题而非安全问题：依赖扫描、密钥扫描、静态分析已覆盖已知模式，应把人力留给真正需要判断的环节（如授权边界的真实意图），其余在每次合并时自动执行。

开发者只想不被打扰地写代码，运维希望尽可能快地构建和部署，而安全团队则要保护软件供应链的每一步免受潜在威胁。在软件开发中，每一行代码都可能引入漏洞……

GrammaTech 客座文章指出 DevSecOps 的盲区：即使 SAST（如 CodeSonar）、自动化测试与 MR 卡点齐备，也少有人从攻击者视角审视技术栈；渗透测试思维正是补齐这一缺口的关键。

采取四个步骤提升软件供应链安全，包括强制安全意识培训、落实政策与标准遵从等。

NetSPI 团队回顾 Black Hat 2021 与 DEF CON 29 亮点：CISA 新任局长 Easterly 力推联合网络防御协作组织（JCDC）促进公私合作，演讲者警示软件供应链攻击将持续升级，线下参会人数因疫情大幅缩水。