Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Контейнерные образы и честность SBOM
Главный тезис
Контейнерный SBOM легко сделать формально корректным и фактически слабым. Сканер часто смотрит на filesystem, package metadata и известные manifests, но образ может сохранять удаленные секреты в слоях, содержать ПО без пакетного менеджера, иметь очищенные metadata, packed binaries, multi-stage следы или зависимости, загруженные внешними командами во время сборки.
Почему сканеры расходятся
Разные инструменты берут факты из разных мест: /etc/os-release, dpkg/apk/rpm базы, lockfiles, бинарные metadata, URL загрузок, Dockerfile, layer diffs, build logs и embedded version info. Поэтому сравнение Syft, Trivy, Grype, blint и ручного анализа слоев должно быть частью обучения: количество найденных packages и vulnerabilities — не абсолютная истина, а функция источников фактов.
Типовые слепые зоны
- Секрет был скопирован в раннем слое и удален позже, но остался в layer tar.
go build -ldflags "-X runtime.modinfo="или упаковка бинаря скрывает dependency metadata.- UPX/stripped/packed binaries мешают извлечению embedded metadata.
- Оптимизатор образа удаляет package manager traces.
- Multi-stage build и внешние загрузки оставляют мало evidence в финальном образе.
- Обфускация metadata может превратить отчет с десятками findings в "0 vulnerabilities".
Что считать честным SBOM образа
Честный SBOM образа должен сопровождаться списком использованных источников фактов, указанием неизвестных зон, layer hash, build provenance, версией инструмента, политикой обработки unknown packages и evidence для секретов. Для критичных поставок полезно связывать SBOM с attestation: Witness/in-toto/SLSA, cosign, SBOMit или аналогичный механизм.
Рабочее правило
Статический анализ образа защищает от добросовестной ошибки лучше, чем от активного обхода. Поэтому для supply chain security статический SBOM нужно дополнять build-time evidence, provenance, секрет-сканированием, runtime/registry policy и ручной проверкой подозрительно "чистых" образов.
Связанные материалы
П37. Контейнерный образ слои секреты и удаленные файлы · П38. Честный SBOM контейнерного образа · Чек-лист честного SBOM контейнерного образа · TruffleHog · SBOMit