Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
CodeScoring
Контекст Коммерческая отечественная платформа OSA/SCA с дополнительным контуром TQI (оценка качества и авторства кода). В курсе это основной кандидат на пилот под ТЗ Организации, где преобладают C/C++ legacy-сборки без дисциплины пакетного менеджера — то есть там, где обычный манифест-скан не находит состав. Публичный сайт — codescoring.ru.
Для чего
Извлекает состав ПО, ищет уязвимости и оценивает лицензионную чистоту, а на входе работает как OSA (firewall пакетных менеджеров). Главная ценность под задачу курса — build-level анализ C/C++ через агент/eBPF: состав восстанавливается из реальной сборки (GCC/Clang), а не из манифеста, которого у legacy-проектов нет.
Как применяют
Три режима подключения под разные задачи: - OSA Proxy — блокирующий контур на входе пакетных менеджеров (подтверждён для Maven, NPM, PyPI, NuGet V3, Go, Debian, Alpine/APK, RPM, Docker Registry). - Сборочный анализ (агент/eBPF) — снимает фактические вызовы компилятора и линковщика во время сборки; так покрываются make/CMake-проекты без манифеста. - CLI/agent в pipeline — gate в CI с импортом/экспортом SBOM в CycloneDX/SPDX и графом зависимостей.
В пилоте каждое спорное требование закрывается демонстрацией на реальном проекте, а не обещанием: qmake, статическая линковка, права на eBPF, офлайн-обновления и перечень экосистем OSA Proxy подтверждаются приёмочными сценариями.
Сильные стороны
- Build-level анализ C/C++ — закрывает основную боль Организации (состав там, где нет Conan/манифеста); make/CMake заявлены и проверяемы пилотом.
- Совмещает OSA-вход (блокирующий proxy) и SCA-разбор состава в одном продукте — единый контур допуска и инвентаризации.
- Дополнительный контур TQI (качество/авторство) расширяет покрытие ТЗ за пределы классического SCA.
- Импорт/экспорт CycloneDX и SPDX — встраивается в конвейер Организации рядом с «генератором фактов».
Ограничения
- qmake прямо не подтверждён — требует демо на реальном Qt-проекте (зона риска несоответствия пилота).
- OSA Proxy подтверждён не для всех менеджеров: Conan, Conda, RubyGems в режиме proxy не подтверждены.
- Готовые бинарники без сборочного контекста (native stripped,
.a/.so) распознаются ненадёжно — заявлено поставщиком прямо. - Reachability только для Java/Python/Go; из IDE-плагинов Qt Creator не покрыт.
Offline / on-premise
Частично. Платформа разворачивается on-premise и работает в закрытом контуре, но регулярность и механизм офлайн-обновления баз (уязвимости, лицензии, malware-фид OSA) — приёмочный пункт пилота, а не данность: способ доставки обновлений в изолированный контур нужно подтвердить отдельно.