Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Контрольные вопросы
Опорная справка для вопросов про issuer, evidence и not_affected: VEX в процессе РБПО.
Уровень 1 — понимание 1. Почему сам файл SBOM не содержит уязвимостей и в какой момент они «появляются»? 2. Чем VDR отличается от VEX? Приведите по одному артефакту-примеру для каждого. 3. Перечислите четыре состояния VEX и объясните, чем
under_investigationотличается от «забыли обработать». 4. Что обязательно сопровождает состояниеnot_affectedи почему без этого запись нелегитимна? 5. Кто имеет право выпустить VEX для конкретной версии вашего продукта и почему база CVE/БДУ не может быть issuer такого VEX?Уровень 2 — применение 6. Когда OSV-Scanner даст более точный результат, чем Grype, и наоборот? Привяжите к типу входа. 7. Какую роль в схеме играет Dependency-Track, чего не дают разовые прогоны Grype/OSV-Scanner? 8. Чем БДУ ФСТЭК отличается от NVD как источник и в каком случае расхождение между ними — сигнал, а не шум? 9. Какие три управленческих поля делают VEX-запись жизнеспособной и что в них кладут? 10. Почему CVSS Base score не равен риску в вашем продукте и как это связано с существованием VEX?
Уровень 3 — анализ 11. Опишите жизненный цикл одной находки: VDR → выбор состояния VEX → обоснование → действие →
fixed. Где здесь возникает ретест? 12. Почемуnot_affected-решение имеет срок жизни? Какой триггер обязывает его пересмотреть? 13. Как одна и та же CVE может одновременно бытьnot_affectedдля сервиса A иaffectedдля сервиса B? Что определяет разницу?
Кейс-задачи
Кейс 1. Массовый not_affected Команда сдала VEX, где 90% находок помечены
not_affected, но в полеjustificationвезде пусто или стоит «не используется». Что не так с этим триажем? Какие два конкретных дефекта вы зафиксируете как аудитор и что потребуете исправить?Кейс 2. Тишина Grype Прогон
grype sbom:./sbom.cdx.jsonвернул 0 находок на сервисе, который очевидно тянет десятки npm-зависимостей. Сформулируйте две гипотезы причины (не «всё чисто») и проверочное действие для каждой.Кейс 3. Протухший VEX Полгода назад для
log4j-core 2.14.1оформилиnot_affected(класс не на пути исполнения). Сейчас сервис обновился, состав изменился, но VEX-запись осталась прежней. Опишите, какой контроль должен был сработать и какое поле триажа за это отвечает.Кейс 4. Upstream VEX от поставщика библиотеки Поставщик сторонней библиотеки прислал advisory/VEX: для его продукта CVE помечена
not_affected. Ваша команда использует эту библиотеку внутри собственного продукта. Можно ли автоматически перенести этот статус в ваш VEX? Что нужно проверить и как использовать upstream-документ как evidence?