Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

OSV.dev

Для чего

OSV.dev (Open Source Vulnerabilities, проект Google) — это агрегатор уязвимостей OSS в едином формате OSV, собирающий записи из множества баз (GHSA, PyPA, Go, RustSec, БД дистрибутивов Linux и др.) и приводящий их к одной схеме. Главная особенность — описание затронутости через PURL и точные диапазоны версий с привязкой к коммитам, что даёт матчинг по координатам без CPE.

Как применяют

OSV.dev отдаёт данные через REST API (запрос по PURL или по коммиту) и является источником для OSV-Scanner. Запрос уязвимостей по PURL:

curl -s -X POST https://api.osv.dev/v1/query \
  -d '{"package":{"purl":"pkg:npm/semver@7.3.7"}}' \
  | jq '.vulns[] | {id, aliases, summary}'

Запись OSV описывает затронутые версии через события introduced/fixed в диапазонах:

{ "id": "GHSA-c2qf-rxjj-qqgw", "aliases": ["CVE-2022-25883"],
  "affected": [{ "package": { "ecosystem": "npm", "name": "semver", "purl": "pkg:npm/semver" },
    "ranges": [{ "type": "SEMVER", "events": [{ "introduced": "0" }, { "fixed": "7.5.2" }] }] }] }

На практике OSV.dev чаще используют не напрямую, а через OSV-Scanner, который читает lock-файлы или SBOM и матчит компоненты с базой OSV — онлайн (API) или офлайн (локальная база).

Сильные стороны

Единая машинная схема OSV для разнородных источников — один парсер вместо десятка.
Матчинг по PURL и диапазонам версий/коммитам — точнее CPE для OSS.
aliases явно связывают записи между собой (GHSA ↔ CVE ↔ DSA и т. д.).
Открытые данные и поддержка офлайн-режима в OSV-Scanner (локальная БД).

Ограничения

Фокус на open source: проприетарное ПО и многие системные C/C++-библиотеки без реестра вне охвата.
Качество записи наследуется от исходной базы — ошибки диапазонов «переезжают» в OSV.
Не содержит EPSS и признака эксплуатации (KEV) — их добавляют отдельно.
Не заменяет национальный источник (БДУ ФСТЭК) для требований РФ-регулятора.

Offline / on-premise

Частично/да. OSV.dev публикует полные дампы базы по экосистемам (zip-архивы JSON-записей), которые можно зеркалировать в закрытый контур; OSV-Scanner умеет работать офлайн против локальной базы (--offline/локальная БД). Прямые запросы к api.osv.dev из изолированной сети недоступны — в ней матчат по реплицированному дампу.

Связанные темы

М06. Поиск уязвимостей и управление VDR/VEX · М04. Идентификаторы компонентов и уязвимостей

Смежные карточки: OSV-Scanner · GitHub Security Advisory · CVE · NVD · Package URL · OSS Index · Grype · БДУ ФСТЭК

Практики: П07. OSV-Scanner и lockfiles · П06. Grype поверх готового SBOM · П24. PURL нормализация и private qualifiers · П10. БДУ ФСТЭК как национальный источник