A szoftverellátási lánc biztonsága (Software Supply Chain Security) gyakorlatorientált kurzus mérnököknek, akik meg szeretnék érteni, hogyan törnek fel a támadók a modern szoftverek létrehozásához használt eszközöket, függőségeket, build rendszereket és szállítási csővezetékeket.
A kurzus a teljes támadási életciklust bemutatja: a rosszindulatú csomagok publikálásától és a függőségi zavarkeltéstől (dependency confusion) a karbantartók (maintainer) fiókjainak feltöréséig, a megmérgezett frissítésekig, a CI/CD-támadásokig és a kompromittált build eszközökig. A támadói és a védői szemléletet gyakorlati példákkal ötvözi Python, JavaScript, GitHub Actions, csomagregisztrációs adatbázisok (package registry), konténerek, SBOM-ok, SLSA és Sigstore témakörében.

Tanulási célok

A kurzus elvégzése után a résztvevők képesek lesznek:
•    Megkülönböztetni a sérülékeny függőséget a rosszindulatú függőségtől.
•    Azonosítani a szoftverellátási lánc támadási felületeit a teljes szoftverfejlesztési életciklus (SDLC) mentén.
•    Felismerni a typosquatting, slopsquatting, dependency confusion, karbantartói fiókfeltörés és megmérgezett frissítéses támadásokat.
•    Elemezni jelentős incidenseket, például az event-stream, SolarWinds, Codecov, 3CX, Polyfill.io és XZ Utils eseteket.
•    Gyakorlati védelmi intézkedéseket alkalmazni fejlesztők, csomagregisztrációs adatbázisok, CI/CD csővezetékek, konténerek és build artefaktumok esetében.
•    Kidolgozni egy valósághű észlelési, reagálási és ellátásilánc-biztonsági érettségi tervet.
 

A kurzus részletei

•    Célközönség: Front-end, back-end, platform és DevOps mérnökök
•    Szint: Középhaladó–haladó
•    Formátum: Gyakorlati előadás és konzultáció
•    Oktató: Dubniczky Richárd
•    Szervezet: ELTE, Informatika Kar
•    Aktuális: 2026