Понять состав продукта
Термины, идентификация, форматы SBOM и первые проверки. Затем — практика с проверяемым результатом.
Начать с М00 →Авторский курс · SCA / OSAЗнать состав.
Знать состав.
Обосновывать
решения.
Композиционный анализ программного обеспечения: от сторонней библиотеки до управляемой цепочки поставки, проверяемого ППК и решения по риску.
Пиков Виталий Александрович
17учебных модулей
40практических работ
691материал в библиотеке
4 + 29рисунка проекта и схем курса
Выберите точку входа
Встроить анализ в разработку
Сборочные данные, прямые и транзитивные зависимости, C/C++ legacy, контроль компонентов от соисполнителей.
Разобрать архитектурный кейс →Организовать процесс
Планы занятий, контрольные вопросы, регламенты, критерии приёмки и шаблоны доказательной базы.
Открыть шаблоны →Интерактивные схемы Archify
Масштабируйте карту, ищите узлы и выделяйте связи. Схемы открываются в отдельной вкладке.
От компонента к решению ↗
Идентификация → состав → оценка → решение → сопровождение. Авторская схема для первого знакомства с процессом.
Факты, решения и доказательства ↗
Модель из модуля М11: генератор фактов, репозиторий артефактов, сервис аудита и сопровождение продукта.
Подписи — на русском; встроенные элементы интерфейса Archify — на английском. Эти две карты являются авторским объяснением, оригинальные рисунки проекта приведены ниже.
Проект национального стандарта по КАПО
«Защита информации. Разработка безопасного программного обеспечения. Композиционный анализ программного обеспечения. Общие требования».
Проект, первая редакция. Публикуется предоставленный автором документ. На титуле указано: «не подлежит применению до утверждения». Формулировки проекта не следует представлять как требования уже утверждённого стандарта.
Разделы 4–5 описывают организацию анализа и контролируемый репозиторий; раздел 7 — возможности инструмента; раздел 8 и приложения — перечень программных компонентов и его формат. Курс связывает эти темы с процессами 5.16–5.17 ГОСТ Р 56939-2024.
Минимальное содержимое ППК — таблица 1 проекта
Шесть полей ниже воспроизведены из указанного DOCX. Это не исчерпывающий перечень всех положений раздела 8 и приложений.
| Обозначение поля | Описание поля |
|---|---|
| Автор компонента | Наименование организации, группы лиц или отдельных лиц, позволяющее идентифицировать автора компонента |
| Наименование компонента | Название компонента |
| Версия компонента | Версия компонента |
| Идентификатор компонента | Идентификатор компонента, позволяющий точно идентифицировать компонент в базах уязвимостей. В качестве идентификатора может применяться PURL или иной |
| Автор ППК | Идентификатор, позволяющий определить организацию, роль или конкретного исполнителя в соответствии с регламентом организации отвечающего за формирование ППК |
| Дата и время формирования ППК | Дата и время формирования перечня программных компонентов |
В проекте ППК — машиночитаемый документ о составе. ППК сопоставим по назначению с SBOM, но не является универсальным синонимом любого SBOM: поля и правила представления проверяются по конкретному проекту стандарта и выбранному формату. Реестр ППК по версиям и организационные процедуры его сопровождения — отдельный уровень управления. Конкретные «должен» и «рекомендуется» проверяйте по тексту проекта.
Перейти к материалам ГОСТ Р 56939-2024 ↗17 модулей — от ориентации до аттестации
В каждом модуле: карта, конспект, план занятия, практика, контрольные вопросы и чек-лист проекта.
- М00Ориентация в курсе и карта решений6 материалов
- М01Термины, угрозы и границы SCA OSA6 материалов
- М02SBOM и ППК как машинный источник фактов6 материалов
- М03Форматы SBOM CycloneDX, SPDX, SWID6 материалов
- М04Идентификаторы компонентов и уязвимостей6 материалов
- М05Инструменты генерации SBOM6 материалов
- М06Поиск уязвимостей и управление VDR VEX6 материалов
- М07Лицензионная чистота и юридический workflow6 материалов
- М08Защита цепочки поставки и OSA6 материалов
- М09C и C++ legacy без дисциплины пакетного менеджера6 материалов
- М10Много исполнителей и корпоративная модель продукта6 материалов
- М11Корпоративный кейс генератор фактов и сервис вердиктов6 материалов
- М12CodeScoring и подготовка пилота6 материалов
- М13Нормативная трассировка и доказательная база6 материалов
- М14Политики, исключения и принятие риска6 материалов
- М15Методика преподавания и итоговая аттестация6 материалов
- М16SBOM for AI и честный SBOM контейнерных образов6 материалов
Практика для студентов
40 работ с заданиями, артефактами и критериями проверки. Начинайте с учебной копии проекта и сохраняйте версии входных данных.
Собрать первый SBOM
Начните с инвентаризации: состав, идентификаторы и привязка к конкретной сборке.
Найти статические зависимости
Проверьте, что вошло из архивов .a и vendored-кода; сохраните данные компоновки.
Выполнить итоговый проект
Соедините состав, уязвимости, лицензии, решение по риску и доказательную базу.
На выходе важен воспроизводимый набор: версия продукта → состав → находки → анализ применимости → решение → доказательства. Лицензионный вывод зависит от способа использования и распространения компонента; одного идентификатора лицензии недостаточно.
C/C++: увидеть то, чего нет в манифесте
Динамические библиотеки, статическая линковка, vendored-код и внутренние форки требуют разных источников доказательств.
Динамические зависимости
Сопоставьте записи ELF и установленные пакеты, сохранив версию и происхождение. Неопознанные библиотеки отмечайте явно.
Статическая линковка
Сохраните команды линкера, map-файлы и происхождение архивов. Отсутствие записи DT_NEEDED не доказывает отсутствие компонента.
Исходники и форки
Учитывайте каталоги third_party, локальные изменения и commit upstream. Версия исходной библиотеки не описывает все внесённые патчи.
Скачать и продолжить самостоятельно
Учебное хранилище SCA/OSA
693 файла: 691 заметка, инструкция и карта архитектуры в формате Obsidian Canvas. Markdown, практики и шаблоны; без служебных папок и рабочих документов.
Скачать курс · ZIPНормативный первоисточник
Предоставленные PDF и DOCX проекта первой редакции. Оригинальные рисунки можно открыть и сохранить по отдельности выше.
PDF проекта · DOCX проектаКонтрольные суммы скачиваемых файлов. Версия библиотеки подготовлена из авторских материалов; ссылки и версии внешних инструментов могут изменяться.