Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Исторический профиль на TAdviser недоступен; ссылка ведёт на сайт разработчика.
Матрица включения источников
| ID | Раздел | Источник | Как использован |
|---|---|---|---|
| SRC-001 | 1. Базовые понятия и терминология | Palo Alto Networks — What Is SCA | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-002 | 1. Базовые понятия и терминология | Wiz — Guide To Standard SBOM Formats | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-003 | 1. Базовые понятия и терминология | Sonatype — SCA Tools (обзор концепции) | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-004 | 1. Базовые понятия и терминология | Прозрачность в цепочке поставок ПО (рус. Википедия, со ссылками на НПА) | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-005 | 1. Базовые понятия и терминология | Инструкция по SCA генерация SBOM, инструменты, отличия (Хабр, Swordfish) | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-006 | 1. Базовые понятия и терминология | Гайд по SCA на русском (picktech) | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-007 | 2. Форматы SBOM и стандарты обмена | Официальный сайт | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-008 | 2. Форматы SBOM и стандарты обмена | Обзор и история версий | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-009 | 2. Форматы SBOM и стандарты обмена | Инструменты SPDX | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-010 | 2. Форматы SBOM и стандарты обмена | Список лицензий SPDX | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-011 | 2. Форматы SBOM и стандарты обмена | Анонс ISO IEC 5962 2021 (Linux Foundation) | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-012 | 2. Форматы SBOM и стандарты обмена | Анонс SPDX 3.0 | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-013 | 2. Форматы SBOM и стандарты обмена | Подробный разбор (FOSSA) | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-014 | 2. Форматы SBOM и стандарты обмена | Официальный сайт | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-015 | 2. Форматы SBOM и стандарты обмена | OWASP-страница проекта (ECMA-424) | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-016 | 2. Форматы SBOM и стандарты обмена | Tool Center (каталог совместимых инструментов) | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-017 | 2. Форматы SBOM и стандарты обмена | Спецификация и схемы | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-018 | 2. Форматы SBOM и стандарты обмена | NIST SWID | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-019 | 2. Форматы SBOM и стандарты обмена | Что такое SBOM, SPDX vs CycloneDX (рус., Axiom JDK) | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-020 | 3. Идентификаторы компонентов и уязвимостей | Спецификация (репозиторий) | Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями. |
| SRC-021 | 3. Идентификаторы компонентов и уязвимостей | FAQ (отличия от CPE) | Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями. |
| SRC-022 | 3. Идентификаторы компонентов и уязвимостей | Понятное объяснение (FOSSA) | Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями. |
| SRC-023 | 3. Идентификаторы компонентов и уязвимостей | Проект AboutCode о purl | Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями. |
| SRC-024 | 3. Идентификаторы компонентов и уязвимостей | CPE в NVD | Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями. |
| SRC-025 | 3. Идентификаторы компонентов и уязвимостей | Маппинг purl↔CPE (purl2cpe, AboutCode) | Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями. |
| SRC-026 | 3. Идентификаторы компонентов и уязвимостей | Рекомендации SBOM Forum по улучшению NVD (OWASP) | Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями. |
| SRC-027 | 3. Идентификаторы компонентов и уязвимостей | CVE Program | Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями. |
| SRC-028 | 3. Идентификаторы компонентов и уязвимостей | CWE | Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями. |
| SRC-029 | 3. Идентификаторы компонентов и уязвимостей | MITRE ATT&CK (модель угроз, контекст) | Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями. |
| SRC-030 | 4. Open source инструменты генерация SBOM | Репозиторий | Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат. |
| SRC-031 | 4. Open source инструменты генерация SBOM | Документация и руководства | Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат. |
| SRC-032 | 4. Open source инструменты генерация SBOM | Гайд по генерации SBOM свободными инструментами | Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат. |
| SRC-033 | 4. Open source инструменты генерация SBOM | Репозиторий | Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат. |
| SRC-034 | 4. Open source инструменты генерация SBOM | OWASP-страница | Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат. |
| SRC-035 | 4. Open source инструменты генерация SBOM | Репозиторий | Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат. |
| SRC-036 | 4. Open source инструменты генерация SBOM | Tern (анализ контейнерных образов, SPDX CycloneDX) 🟢 | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-037 | 4. Open source инструменты генерация SBOM | SPDX SBOM Generator 🟢 | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-038 | 4. Open source инструменты генерация SBOM | Trivy (умеет генерировать SBOM, см. §5) 🟢 | Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат. |
| SRC-039 | 4. Open source инструменты генерация SBOM | Сравнение генераторов (Sbomify) | Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат. |
| SRC-040 | 4. Open source инструменты генерация SBOM | Практический разбор Syft в CI CD | Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат. |
| SRC-041 | 5. Open source инструменты поиск уязвимостей (SCA) | Репозиторий | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-042 | 5. Open source инструменты поиск уязвимостей (SCA) | Репозиторий | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-043 | 5. Open source инструменты поиск уязвимостей (SCA) | Репозиторий сканера | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-044 | 5. Open source инструменты поиск уязвимостей (SCA) | Документация | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-045 | 5. Open source инструменты поиск уязвимостей (SCA) | База и сервис OSV | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-046 | 5. Open source инструменты поиск уязвимостей (SCA) | OWASP-страница | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-047 | 5. Open source инструменты поиск уязвимостей (SCA) | Репозиторий | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-048 | 5. Open source инструменты поиск уязвимостей (SCA) | Репозиторий | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-049 | 6. Open source инструменты управление SBOM | Официальный сайт | Включить в архитектуру корпоративного контура: хранение SBOM, повторный анализ, VDR/VEX, политика, портфель проектов и связь с readiness. |
| SRC-050 | 6. Open source инструменты управление SBOM | OWASP-страница | Включить в архитектуру корпоративного контура: хранение SBOM, повторный анализ, VDR/VEX, политика, портфель проектов и связь с readiness. |
| SRC-051 | 6. Open source инструменты управление SBOM | Документация | Включить в архитектуру корпоративного контура: хранение SBOM, повторный анализ, VDR/VEX, политика, портфель проектов и связь с readiness. |
| SRC-052 | 6. Open source инструменты управление SBOM | Гайд OWASP Developer Guide | Включить в архитектуру корпоративного контура: хранение SBOM, повторный анализ, VDR/VEX, политика, портфель проектов и связь с readiness. |
| SRC-053 | 6. Open source инструменты управление SBOM | Сайт | Включить в архитектуру корпоративного контура: хранение SBOM, повторный анализ, VDR/VEX, политика, портфель проектов и связь с readiness. |
| SRC-054 | 6. Open source инструменты управление SBOM | Репозиторий | Включить в архитектуру корпоративного контура: хранение SBOM, повторный анализ, VDR/VEX, политика, портфель проектов и связь с readiness. |
| SRC-055 | 6. Open source инструменты управление SBOM | protobom — нейтральная к формату библиотека протобуф-модель для чтения з | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-056 | 6. Open source инструменты управление SBOM | bomctl — инструмент маршрутизации операций над SBOM «между» инструментам | Включить в архитектуру корпоративного контура: хранение SBOM, повторный анализ, VDR/VEX, политика, портфель проектов и связь с readiness. |
| SRC-057 | 6. Open source инструменты управление SBOM | OWASP Dependency Graph SBOM Cheat Sheet | Включить в архитектуру корпоративного контура: хранение SBOM, повторный анализ, VDR/VEX, политика, портфель проектов и связь с readiness. |
| SRC-058 | 7. Open source инструменты лицензионный анализ | Репозиторий | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-059 | 7. Open source инструменты лицензионный анализ | Экосистема AboutCode (LicenseDB, VulnerableCode, PURL, VERS) | Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями. |
| SRC-060 | 7. Open source инструменты лицензионный анализ | Сайт | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-061 | 7. Open source инструменты лицензионный анализ | Репозиторий | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-062 | 7. Open source инструменты лицензионный анализ | Репозиторий | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-063 | 7. Open source инструменты лицензионный анализ | Сайт | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-064 | 7. Open source инструменты лицензионный анализ | Репозиторий | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-065 | 7. Open source инструменты лицензионный анализ | ClearlyDefined — курируемые метаданные о лицензиях копирайтах происхожде | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-066 | 7. Open source инструменты лицензионный анализ | Grant (Anchore) — проверка лицензионных правил поверх SBOM 🟢 | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-067 | 7. Open source инструменты лицензионный анализ | ScanOSS — открытый сканер + открытая база знаний (OSSKB) 🟡 | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-068 | 7. Open source инструменты лицензионный анализ | Обзор открытых сканеров лицензий (Aikido) | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-069 | 7. Open source инструменты лицензионный анализ | Linux Foundation — процесс комплаенса для разработчиков | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-070 | 7. Open source инструменты лицензионный анализ | Курируемый список ресурсов комплаенса (Validos) | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-071 | 7. Open source инструменты лицензионный анализ | Ландшафт OSS-инструментов комплаенса | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-072 | 8. Целостность и происхождение артефактов (provenance) | Сайт и спецификация | Включить в блок защиты цепочки поставки: подпись, происхождение артефакта, воспроизводимость и доверие к pipeline. |
| SRC-073 | 8. Целостность и происхождение артефактов (provenance) | «EO in Plain English» (связь с SSDF) | Включить в блок защиты цепочки поставки: подпись, происхождение артефакта, воспроизводимость и доверие к pipeline. |
| SRC-074 | 8. Целостность и происхождение артефактов (provenance) | Сайт | Включить в блок защиты цепочки поставки: подпись, происхождение артефакта, воспроизводимость и доверие к pipeline. |
| SRC-075 | 8. Целостность и происхождение артефактов (provenance) | Сайт | Включить в блок защиты цепочки поставки: подпись, происхождение артефакта, воспроизводимость и доверие к pipeline. |
| SRC-076 | 8. Целостность и происхождение артефактов (provenance) | Репозиторий | Включить в блок защиты цепочки поставки: подпись, происхождение артефакта, воспроизводимость и доверие к pipeline. |
| SRC-077 | 8. Целостность и происхождение артефактов (provenance) | OpenSSF (Open Source Security Foundation) | Включить в блок защиты цепочки поставки: подпись, происхождение артефакта, воспроизводимость и доверие к pipeline. |
| SRC-078 | 9. Коммерческие и индустриальные платформы | OX Security — 10 Best SCA Tools 2025 | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-079 | 9. Коммерческие и индустриальные платформы | Cycode — SCA Buyer's Guide | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-080 | 9. Коммерческие и индустриальные платформы | Mend — Mend SCA documentation | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-081 | 9. Коммерческие и индустриальные платформы | Kiuwan — 10 Leading SCA Tools | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-082 | 9. Коммерческие и индустриальные платформы | Planet Crust — Open-Source SCA Tools Comparison | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-083 | 10. Базы данных уязвимостей и фиды | NVD (National Vulnerability Database, NIST) — обогащённые CVE с CPE CVSS | Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями. |
| SRC-084 | 10. Базы данных уязвимостей и фиды | OSV.dev (Google) — открытая распределённая БД, агрегирует 30+ источников | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-085 | 10. Базы данных уязвимостей и фиды | GitHub Advisory Database | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-086 | 10. Базы данных уязвимостей и фиды | Sonatype OSS Index / Guide API — фид API по компонентам, актуальная миграция токенов | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-087 | 10. Базы данных уязвимостей и фиды | VulnerableCode (AboutCode) — открытая БД с привязкой к purl, проект | Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями. |
| SRC-088 | 10. Базы данных уязвимостей и фиды | EPSS (Exploit Prediction Scoring System) — вероятность эксплуатации, для | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-089 | 10. Базы данных уязвимостей и фиды | deps.dev (Google Open Source Insights) — граф зависимостей, лицензии, ме | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-090 | 10. Базы данных уязвимостей и фиды | CISA KEV (Known Exploited Vulnerabilities) — каталог реально эксплуатиру | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-091 | 10. Базы данных уязвимостей и фиды | VEX (Vulnerability Exploitability eXchange) — статус эксплуатируемости ( | Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID. |
| SRC-092 | 10. Базы данных уязвимостей и фиды | CSAF (Common Security Advisory Framework, OASIS) — машиночитаемые бюллет | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-093 | 10. Базы данных уязвимостей и фиды | БДУ ФСТЭК России (банк данных угроз и уязвимостей) — основной источник п | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-094 | 10. Базы данных уязвимостей и фиды | БДУ для АСУ ТП | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-095 | 10. Базы данных уязвимостей и фиды | Раздел ФСТЭК «Техническая защита информации» | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-096 | 10. Базы данных уязвимостей и фиды | Объяснение работы с БДУ (Selectel) | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-097 | 11. Нормативная база США | Текст (Federal Register) | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-098 | 11. Нормативная база США | Страница CSRC | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-099 | 11. Нормативная база США | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. | |
| SRC-100 | 11. Нормативная база США | Страница | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-101 | 11. Нормативная база США | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. | |
| SRC-102 | 11. Нормативная база США | Страница ресурса | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-103 | 11. Нормативная база США | PDF чернового документа | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-104 | 11. Нормативная база США | Хаб CISA по SBOM | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-105 | 11. Нормативная база США | Библиотека ресурсов SBOM (вкл. мировые НПА) | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-106 | 11. Нормативная база США | NIST — SBOM в цепочках поставок ПО | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-107 | 11. Нормативная база США | FOSSA — SBOM Compliance Requirements | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-108 | 11. Нормативная база США | Sonatype — что значит CISA 2025 для агентств | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-109 | 12. Нормативная база Евросоюз и Германия | Обзор требований (Anchore) | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-110 | 12. Нормативная база Евросоюз и Германия | Разбор (Sbomify) | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-111 | 12. Нормативная база Евросоюз и Германия | Разбор (FOSSA) | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-112 | 12. Нормативная база Евросоюз и Германия | Страница BSI (EN) | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-113 | 12. Нормативная база Евросоюз и Германия | TR-03183-2 v2.1.0 | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-114 | 12. Нормативная база Евросоюз и Германия | Разбор (FOSSA) | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-115 | 12. Нормативная база Евросоюз и Германия | OpenSSF — SBOM в эпоху CRA (к единому фреймворку) | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-116 | 13. Открытые стандарты и фреймворки безопасности | ISO IEC 5230 (OpenChain) — стандарт качества процессов open source компл | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-117 | 13. Открытые стандарты и фреймворки безопасности | OWASP-страница | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-118 | 13. Открытые стандарты и фреймворки безопасности | Сайт | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-119 | 13. Открытые стандарты и фреймворки безопасности | Репозиторий (машиночитаемые версии) | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-120 | 13. Открытые стандарты и фреймворки безопасности | OWASP Top 10 — A06 2021 Vulnerable and Outdated Components | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-121 | 13. Открытые стандарты и фреймворки безопасности | OWASP DevSecOps Developer Guide | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-122 | 14. Российский контекст РБПО, ГОСТ, ФСТЭК | Карточка во ФГБУ «Институт стандартизации» | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-123 | 14. Российский контекст РБПО, ГОСТ, ФСТЭК | Карточка в Фонде стандартов | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-124 | 14. Российский контекст РБПО, ГОСТ, ФСТЭК | Обзор ГОСТа (Selectel) | Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база. |
| SRC-125 | 14. Российский контекст РБПО, ГОСТ, ФСТЭК | Обзор (RadCop) | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-126 | 14. Российский контекст РБПО, ГОСТ, ФСТЭК | Информационный ресурс по РБПО (PVS-Studio) | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-127 | 14. Российский контекст РБПО, ГОСТ, ФСТЭК | Единый реестр российского ПО (Минцифры) | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-128 | 14. Российский контекст РБПО, ГОСТ, ФСТЭК | Курс «Разработка безопасного ПО» (УЦ «Эшелон») | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-129 | 15. CodeScoring — детальный разбор | Документация (RU) | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-130 | 15. CodeScoring — детальный разбор | Документация (EN) | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-131 | 15. CodeScoring — детальный разбор | Полная документация PDF | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-132 | 15. CodeScoring — детальный разбор | Сайт продукта | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-133 | 15. CodeScoring — детальный разбор | Сайт продукта — https codescoring.ru ; модуль SCA | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-134 | 15. CodeScoring — детальный разбор | CodeScoring.SCA — анализ манифестов, разрешение транзитивных зависимосте | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-135 | 15. CodeScoring — детальный разбор | CodeScoring.OSA — работа с open source на уровне репозиториев реестров о | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-136 | 15. CodeScoring — детальный разбор | CodeScoring.Save — управление приватными репозиториями (Go, Maven, NPM, | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-137 | 15. CodeScoring — детальный разбор | CodeScoring.Secrets — поиск секретов, в т.ч. ML-модель | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-138 | 15. CodeScoring — детальный разбор | CodeScoring.TQI — оценка качества и техдолга, отслеживание клонов кода, | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-139 | 15. CodeScoring — детальный разбор | docs.codescoring.ru | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-140 | 15. CodeScoring — детальный разбор | Сканирование сборки C C++ | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-141 | 15. CodeScoring — детальный разбор | Анализ достижимости | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-142 | 15. CodeScoring — детальный разбор | Подпись верификация SBOM | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-143 | 15. CodeScoring — детальный разбор | Потоки данных (фиды) NVD CVE, БДУ ФСТЭК, GHSA, OSS Index, OSV (15 экосис | Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive. |
| SRC-144 | 15. CodeScoring — детальный разбор | CodeScoring — официальный сайт | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-145 | 15. CodeScoring — детальный разбор | Обзор рынка SCA (Anti-Malware) | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-146 | 15. CodeScoring — детальный разбор | Хабр компании | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-147 | 15. CodeScoring — детальный разбор | Telegram-канал | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-148 | 16. Российские инструменты SCA OSA | Продукт | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-149 | 16. Российские инструменты SCA OSA | Архитектура модуль SCA | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-150 | 16. Российские инструменты SCA OSA | Что такое SBOM (блог «Солар») | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-151 | 16. Российские инструменты SCA OSA | PT Application Inspector PT BlackBox (Positive Technologies) 🇷🇺 — SAST D | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-152 | 16. Российские инструменты SCA OSA | Сфера. Код Платформа «Сфера» 🇷🇺 — DevSecOps-инструменты (есть плагин OSA | Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа. |
| SRC-153 | 16. Российские инструменты SCA OSA | Swordfish Security 🇷🇺 — практики и оркестрация AppSec SCA (полезные мето | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-154 | 16. Российские инструменты SCA OSA | PVS-Studio 🇷🇺 — статический анализ (смежно с РБПО), большой образователь | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-155 | 17. Лицензии и лицензионная чистота | OSI (Open Source Initiative) — одобренные лицензии | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-156 | 17. Лицензии и лицензионная чистота | FSF — комментарии к лицензиям и совместимость с GPL | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-157 | 17. Лицензии и лицензионная чистота | GPL FAQ (FSF) — трактовки copyleft, статической динамической линковки | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-158 | 17. Лицензии и лицензионная чистота | AboutCode LicenseDB (2500+ лицензий) | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-159 | 17. Лицензии и лицензионная чистота | choosealicense.com (популярное введение) | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-160 | 17. Лицензии и лицензионная чистота | FOSSA — разбор судебной практики по нарушению OSS-лицензий | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-161 | 17. Лицензии и лицензионная чистота | Linux Foundation Open Compliance Program | Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow. |
| SRC-162 | 18. Отраслевые отчёты и статистика заимствований | Лендинг отчёта | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-163 | 18. Отраслевые отчёты и статистика заимствований | Разбор данных OSSRA | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-164 | 18. Отраслевые отчёты и статистика заимствований | Итоги 2026 (рост уязвимостей, ИИ) | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-165 | 18. Отраслевые отчёты и статистика заимствований | Отчёт | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-166 | 18. Отраслевые отчёты и статистика заимствований | Статистика атак на цепочку поставок (агрегатор фактов) | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-167 | 18. Отраслевые отчёты и статистика заимствований | Академический разбор скрытых издержек и рисков OSS | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-168 | 18. Отраслевые отчёты и статистика заимствований | Sonatype Forrester Wave SCA 2024 — см | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-169 | 19. Образовательные материалы и курируемые подборки | awesome-software-supply-chain-security (исчерпывающая подборка, акцент н | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-170 | 19. Образовательные материалы и курируемые подборки | Snyk Learn | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-171 | 19. Образовательные материалы и курируемые подборки | OpenSSF — курс LFD121 (Developing Secure Software, бесплатный) | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-172 | 19. Образовательные материалы и курируемые подборки | OWASP Cheat Sheet Series (Dependency Graph SBOM, Vulnerable Dependency M | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-173 | 19. Образовательные материалы и курируемые подборки | Глоссарий SecurityLab SecPost (термины SBOM SCA) | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |
| SRC-174 | 19. Образовательные материалы и курируемые подборки | Глоссарий SecurityLab SecPost (термины SBOM SCA) — https www.securitylab | Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения. |