Пиков / КАПО
Библиотека
Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

AppSec.Track

Контекст Платформа класса ASPM/ASOC (Application Security Posture Management): не сканер, а витрина и менеджмент над результатами чужих сканеров. В курсе появляется в сравнении с build-level кандидатом пилота как пример надстройки над данными, которую нельзя путать с первичным источником состава C/C++.

Для чего

Собирает результаты разных инструментов (SCA, SAST, DAST, секреты) в одно место, дедуплицирует и коррелирует находки, ведёт дефекты, заводит задачи в трекер и строит дашборды по статусу безопасности портфеля приложений. Отвечает на вопрос «что у нас в сумме горит и кто это чинит», а не «из чего собран этот C/C++ продукт».

Как применяют

Работает поверх данных: сканеры (в т.ч. SCA-движок и OSA) отдают отчёты в платформу — импортом артефактов или через интеграции, после чего находки превращаются в управляемые дефекты с владельцем, severity и сроком. Типовой обмен — приём отчёта сканера и SBOM в стандартных форматах:

вход:  CycloneDX / SPDX (состав) + отчёт сканера (находки)
выход: дедуплицированный реестр дефектов, дашборд позы, задача в трекере

В решающей таблице пилота (см. П33) этот класс закрывает строки «единая витрина», «политики», «дефекты», но строку «кто первичный источник данных о составе C/C++» — нет.

Сильные стороны

Ограничения

Offline / on-premise

Частично. ASPM-платформы этого класса разворачиваются on-premise, но работают только настолько, насколько в закрытый контур заведены подключённые сканеры и их фиды; собственного офлайн-анализа состава у агрегатора нет — он зависит от данных, которые ему отдают.

Связанные темы