Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

sbom-checker

Для чего

sbom-checker — валидатор качества SBOM, а не генератор. Он проверяет готовый документ на соответствие минимальным требованиям (наличие имени и версии компонента, поставщика, уникальных идентификаторов, отношений зависимости, временной метки и автора) и оценивает «пригоден ли этот SBOM как доказательная единица». Закрывает разрыв между «SBOM сгенерирован» и «SBOM достаточен».

Как применяют

Прогон проверки по файлу с отчётом-оценкой:

sbom-checker --filepath sbom.cdx.json

На выходе — пофайловый разбор по критериям минимальных элементов и итоговый счёт соответствия: какие поля заполнены, где отсутствуют идентификаторы (PURL/CPE), есть ли отношения зависимостей и метаданные авторства. Это даёт объективный gate-критерий для CI: пропускать SBOM дальше или вернуть на доработку.

Сверяйте критерии с требованиями Организации Конкретный набор проверок и точные имена флагов сверяйте с --help своей версии инструмента: реализации валидаторов минимальных элементов различаются. Важно зафиксировать, какую именно трактовку «минимальных элементов» вы принимаете как порог приёмки.

Сильные стороны

Превращает расплывчатое «качество SBOM» в измеримый чек-лист минимальных элементов.
Работает поверх и SPDX, и CycloneDX — не привязан к одному формату.
Удобен как quality-gate в конвейере: машинный вердикт «годен/не годен».
Подсвечивает типовые дыры (нет поставщика, нет идентификаторов, нет графа зависимостей).

Ограничения

Форма, а не правда sbom-checker проверяет, что поля заполнены, но не что они верны. SBOM с правдоподобными, но ошибочными координатами получит высокий балл и пройдёт gate. Полнота полей — необходимое, но не достаточное условие.

Проверяет форму и полноту полей, но не достоверность данных: красивый, но неверный SBOM пройдёт.
Набор критериев отражает конкретную трактовку минимальных элементов — её нужно сверять с требованиями Организации.
Сам ничего не чинит: только диагностирует, доработка — на генераторе.

Offline / on-premise

Полностью офлайн: проверяется локальный файл по встроенным правилам, сеть не нужна. Идеально для закрытого контура как обязательный шаг приёмки SBOM от исполнителей.

Связанные темы

М05 Инструменты генерации SBOM · М13 Нормативная трассировка · П34. SBOM quality gate · CISA Minimum Elements for SBOM · NTIA Minimum Elements for SBOM · sbom-updater · CycloneDX