本技能用于检测、响应和预防针对包仓库、容器镜像与 CI/CD 流水线的软件供应链攻击。
用途：适用于所依赖的包被通报入侵、依赖出现可疑网络请求或在作用域外写文件、新增 post-install 脚本、定期供应链审计、依赖升级后 CI/CD 行为异常、引入新第三方依赖前验证来源、处置仿冒包或注册表账号被接管，以及实施 SLSA 合规与生成构建来源。
主要能力：依赖审计（npm audit、pip-audit、cargo audit）；Sigstore/Cosign 验证制品与镜像签名；slsa-verifier 校验 SLSA 来源；锁文件完整性检查与差异监控；pip 哈希锁定、npm integrity 字段、cargo-vet 审核；cosign 与 Kyverno 策略强制签名镜像；CI/CD 加固（按 SHA 固定 Actions、隔离/临时 runner、OIDC 免长期密钥、最小权限）；SLSA 分级与 GitHub generator 生成来源；Artifactory、Nexus、Verdaccio 依赖防火墙与白名单；PR 新依赖检测与 OSV.dev 集成监控告警。
使用方式：按需调用对应命令，如 npm audit --json、pip-audit -r requirements.txt、cargo audit --json、cosign verify、slsa-verifier verify-artifact 等；应急响应按固定、冻结、审计暴露面、扫描失陷指标、通报相关方、替换或 fork 的顺序执行；在 CI 中加入锁文件审计、依赖审查与签名校验步骤。
限制：资料未提供具体定价、适用平台限制或效果保证；部分示例中的域名、镜像地址、角色 ARN、版本号需替换为实际值；未列出的场景与工具行为暂未提供。