Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Карта C/C++ legacy
- include не равен зависимости
- компиляция и линковка
- динамическая линковка
- статическая линковка
- ELF и разделы dynamic
- ldd readelf objdump
- LIEF как программный анализ ELF
- pkg-config и файлы pc
- dpkg apt metadata
- Conan recipe package id graph
- vcpkg manifests
- CMake target_link_libraries
- qmake и legacy Qt
- ручные third_party каталоги
- vendored source
- форки open source библиотек
- копипаста кода
- stripped binaries
- debug symbols как evidence
- cross-compilation
- Astra Debian RPM среды
- containerized build
- unresolved libraries
- CPE alias для libssl3
- PURL pkg generic fallback
- private Conan qualifiers
- version normalization
- hash-based identification
- detection accuracy
- SBOM evidence occurrences
- secure compiler flags
- sanitizers in CI
- CERT MISRA рядом с SCA
- build logs как аудиторский артефакт
- поставка от соисполнителя
- container image layers
- container image obfuscation
- honest SBOM
- AI model dependencies
- dataset license