Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Билет 06
Теоретический вопрос
Разведите три сущности: результат сканирования (список потенциальных CVE), VDR (Vulnerability Disclosure Report — что найдено) и VEX (Vulnerability Exploitability eXchange — применимо ли это к продукту). Почему VDR — это факт о наличии уязвимости в компоненте, а VEX — решение о её эксплуатируемости (not_affected, affected, fixed, under_investigation)? Что произойдёт с доверием к процессу, если статус not_affected выставляется без обоснования?
Практический вопрос
Мини-кейс Сканер выдал 40 находок на релиз. 12 — в коде, который не вызывается; 5 уже исправлены патчем дистрибутива; остальные требуют анализа. Постройте triage: какие записи попадают в VDR как факт, какие — в VEX со статусом и обоснованием, и кто имеет право выставить
not_affected. Покажите, почему «закрыть находку правкой в трекере» — не то же самое, что обоснованный VEX-статус.
Что должен показать ответ
- Источник факта: VDR из сканера/портфеля SBOM как перечень находок; VEX — слой решения поверх факта.
- Инструмент: Dependency-Track / Grype поверх SBOM для VDR; ведение VEX-статусов с обоснованием.
- Владелец решения: статус эксплуатируемости (
not_affectedи др.) выпускает ответственный issuer продукта (Product Security / PSIRT / AppSec / РБПО + владелец продукта), не база уязвимостей и не инженер в трекере. - Нормативная опора: NIST SP 800-218 SSDF (RV.1), ГОСТ Р 56939-2024, CycloneDX ECMA-424 (VEX).
- Evidence: VDR-выгрузка; VEX-запись с issuer, обоснованием статуса и доказательствами для аудита.