Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Билет 20
Теоретический вопрос
Что значит честный SBOM контейнерного образа и почему скан только верхнего слоя даёт ложную картину? Раскройте специфику слоёв: компонент, добавленный и затем «удалённый» в более позднем слое, физически остаётся в образе; секреты, попавшие в промежуточный слой, никуда не исчезают; базовый образ тащит собственный состав. Почему честный SBOM должен отражать то, что реально лежит во всех слоях, а не то, что видно в финальной файловой системе?
Практический вопрос
Мини-кейс Образ собран многослойно: в одном слое во время сборки скачана и затем
rm-нута утилита, в другом случайно попал приватный ключ. Сканер по финальному слою их «не видит». Опишите, как построить честный SBOM: какие слои разобрать, как обнаружить удалённые-но-присутствующие файлы и секреты, и почему наличие компонента в истории слоёв — это факт состава, а его удаление в финале — не основание убрать его из SBOM.
syft <image>:<tag> -o cyclonedx-json # состав по всем слоям
trivy image --scanners vuln,secret <image>:<tag> # уязвимости + секретыЧто должен показать ответ
- Источник факта: состав по всем слоям образа (включая удалённые-но-присутствующие файлы), а не финальная ФС.
- Инструмент: Syft/Trivy по слоям образа; сканер секретов; разбор истории слоёв.
- Владелец решения: трактовка «удалён в финале, но есть в слое» и судьба найденного секрета — за сервисом аудита/вердиктов.
- Нормативная опора: ГОСТ Р 56939-2024, CISA Minimum Elements for SBOM, NIST SP 800-218 SSDF.
- Evidence: чек-лист честного SBOM образа; перечень слоёв с найденными компонентами и секретами.