Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

CSAF

Для чего

CSAF (Common Security Advisory Framework, OASIS 2.0) — машиночитаемый формат бюллетеней безопасности: производитель ПО публикует в нём, какие его продукты затронуты уязвимостью, а какие — нет, с какой версии исправлено и что делать. Это формат самого advisory; источником выступает тот, кто его издаёт (вендор, CERT). Профиль csaf_vex позволяет издавать в CSAF и VEX-утверждения. Для собственного продукта порядок issuer/evidence такой же, как в VEX в процессе РБПО.

Как применяют

Документ CSAF 2.0 — JSON из трёх крупных частей: document (метаданные, издатель, трекинг), product_tree (дерево продуктов и их версии) и vulnerabilities (привязка CVE к статусам продуктов). Статус продукта задаётся категориями product_status:

{
  "vulnerabilities": [
    {
      "cve": "CVE-2024-0001",
      "product_status": {
        "known_affected": ["CSAFPID-0001"],
        "known_not_affected": ["CSAFPID-0002"],
        "fixed": ["CSAFPID-0003"],
        "under_investigation": ["CSAFPID-0004"]
      }
    }
  ]
}

Продукты в product_status ссылаются на идентификаторы из product_tree, где они описаны через product_identification_helper (включая CPE и хеши). Издатели публикуют CSAF-документы по стандартизованному каталогу (CSAF provider), откуда их забирают автоматически.

Сильные стороны

Полноценный фреймворк бюллетеня: издатель, трекинг версий, серьёзность (CVSS), ремедиации — а не только статус.
Дерево продуктов product_tree точно адресует, какая ветка/сборка затронута.
Профиль csaf_vex совмещает классический бюллетень и VEX в одном стандарте OASIS.

Ограничения

Тяжеловесный по сравнению с OpenVEX: для простого утверждения «не затронуто» избыточен.
Издавать CSAF корректно сложно — нужен зрелый процесс на стороне вендора (provider-метаданные, подпись).
Потребление требует разбора product_tree и сопоставления продуктов с вашим SBOM, что нетривиально.
CSAF поставщика не заменяет ваш VEX, если вы встраиваете его компонент в собственный продукт: сначала проверяется контекст сборки и достижимость кода.

Offline / on-premise

Документы CSAF — обычные JSON-файлы: их создание, валидация по схеме и потребление полностью локальны. В закрытом контуре advisory можно зеркалировать с внешнего provider и раздавать внутри без выхода в интернет.

Связанные темы

М06 Поиск уязвимостей · М13 Нормативная трассировка Справка: VEX в процессе РБПО Практики: П09. VDR и VEX различие факта и решения · П35. VEX triage Смежные карточки: OpenVEX · CycloneDX · CVE · CPE