Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
OWASP SCVS
О документе
Что это OWASP SCVS (Software Component Verification Standard) — открытый стандарт OWASP, формулирующий проверяемые требования к управлению компонентами цепочки поставки ПО. Это самый «прицельный» под SCA/OSA документ группы: он напрямую про инвентаризацию, SBOM, идентификацию компонентов и контроль происхождения. По духу — чек-лист требований с тремя уровнями строгости (L1–L3).
SCVS структурирован по доменам: инвентаризация (V1), SBOM (V2), сборка и среда (V3), управление пакетами (V4), идентификация компонентов (V5), pedigree/provenance (V6). Уровни L1/L2/L3 позволяют наращивать строгость, не переписывая требования.
Ключевые требования
- Полная инвентаризация (V1). Все first-party и third-party компоненты, включая транзитивные зависимости, должны быть известны и учтены.
- Машиночитаемый SBOM (V2). SBOM формируется автоматически, в стандартном формате (CycloneDX/SPDX), на каждый релиз, с точностью до версии.
- Целостность среды сборки (V3). Сборка воспроизводима, артефакты собираются из контролируемых источников, build-pipeline защищён.
- Контролируемое управление пакетами (V4). Зависимости подтягиваются из доверенного репозитория, версии зафиксированы (lockfiles), отсутствует «слепой» подтяг latest.
- Однозначная идентификация (V5). Каждый компонент имеет корректный
purl/cpeи проверяемую целостность (хэш/подпись). - Происхождение и pedigree (V6). Известно, откуда компонент получен, и есть подтверждение, что он не был подменён.
Что считать evidence
Артефакты соответствия - SBOM на каждый релиз с метрикой покрытия транзитивных зависимостей (домен V1–V2). - CI-gate качества SBOM: процент компонентов с валидным
purl, наличие версий и хэшей (V5). - Конфигурация controlled repository / proxy и lockfiles как доказательство V4. - Подпись SBOM/артефактов и проверка целостности — доказательство V3/V6.
Матрица трассировки доменов SCVS на контроли и артефакты:
| Домен SCVS | Контроль SCA/OSA | Подтверждающий артефакт |
|---|---|---|
| V1 Инвентаризация | Портфельный учёт всех зависимостей | SBOM с покрытием транзитивных зависимостей |
| V2 SBOM | Автогенерация SBOM на релиз | CycloneDX/SPDX-документ + лог CI |
| V4 Управление пакетами | Controlled repository, lockfiles | Конфигурация proxy, зафиксированные версии |
| V5 Идентификация | purl/cpe + хэши |
Отчёт качества SBOM (доля валидных purl) |
| V6 Provenance | Подпись артефактов/SBOM | Provenance-attestation, проверка подписи |
Маппинг на практики и шаблоны
- Качество SBOM как gate (V2/V5): П34. SBOM quality gate.
- Портфель SBOM и контроль покрытия (V1): П08. Dependency-Track как портфель SBOM.
- Целостность и происхождение (V3/V6): П14. Подпись SBOM через Sigstore.
- Шаблоны: Соглашение о качестве данных SBOM, Паспорт open source библиотеки, Политика приемки сторонних компонентов.
- Контекст модулей: М02. SBOM как источник фактов и М04. Идентификаторы.
Ограничение
Это учебная карточка Карточка пересказывает структуру SCVS под курс и не воспроизводит официальный текст. Точные формулировки требований и привязку к уровням L1–L3 для аудита сверять с актуальной редакцией OWASP SCVS и регламентами Организации.