Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Требования к offline обновлениям
Назначение Задаёт требования к обновлению баз знаний и компонентов SCA/OSA в изолированном (air-gapped) контуре: как доставлять обновления баз уязвимостей и правил без прямого выхода в интернет, как проверять их целостность и с какой частотой. Без свежей базы фактов gate и анализ дают устаревший результат.
Когда применяется
В закрытом/offline-контуре Организации, при on-premise/offline-поставке инструмента, при работе по регламенту импортозамещения. Применяется по расписанию обновления баз.
Что обновляется offline
| Объект обновления | Источник (внешний) | Канал доставки в контур |
|---|---|---|
| База уязвимостей NVD/OSV | публичные фиды | подписанный пакет через перенос |
| БДУ ФСТЭК | национальный источник | по Порядок обновления БДУ |
| CISA KEV (known exploited) | публичный фид | подписанный пакет |
| Правила/политики gate | внутренний релиз политик | версионированный пакет правил |
| Лицензионные базы | публичные базы лицензий | подписанный пакет |
| Сигнатуры malware/protestware | поставщик инструмента | подписанный пакет |
Требования к доставке и целостности
- [ ] Перенос только через контролируемый шлюз/носитель, без прямого доступа контура в интернет.
- [ ] Каждый пакет обновления имеет подпись поставщика; подпись проверяется до применения.
- [ ] Целостность проверяется по контрольной сумме; несовпадение — обновление отклоняется и логируется.
- [ ] Версия и дата каждой базы фиксируется и попадает в поле
source_versionзаписи audit trail. - [ ] Откат: хранится предыдущая рабочая версия базы для отката при сбое.
Частота и SLA свежести
| Объект | Целевая частота | Максимальное отставание (SLA) |
|---|---|---|
| База уязвимостей / KEV | ежедневно | ≤ 72 часа |
| БДУ ФСТЭК | по выходу обновлений | ≤ 7 дней |
| Правила/политики gate | по изменению | ≤ 1 день после релиза правил |
| Лицензионные базы | ежемесячно | ≤ 30 дней |
Просроченная база Если отставание базы превышает SLA, результаты анализа помечаются как «на устаревшей базе», а критические вердикты приостанавливаются до обновления. Свежесть базы — обязательное условие достоверности gate.
Связь с курсом
- Модули: М08 Защита цепочки поставки и OSA, М12 CodeScoring и подготовка пилота.
- Практики: П32. CodeScoring offline architecture, П10. БДУ ФСТЭК как национальный источник.
- Смежные шаблоны: Порядок обновления БДУ, Требования к CI security gate.
- Нормативка: БДУ ФСТЭК, ГОСТ Р 56939-2024.