Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

БДУ ФСТЭК

О документе

Что это Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru) — единый национальный реестр, который ведёт регулятор. Содержит два раздела: каталог угроз безопасности информации (порядка двух сотен записей) и базу уязвимостей ПО и программно-аппаратных средств (десятки тысяч записей с идентификаторами вида BDU:YYYY-NNNNN). Это не свод требований и не методология, а источник данных: справочник, который SCA-процесс потребляет, а не «выполняет».

В контексте курса БДУ — это национальный аналог NVD/OSV для этапа поиска уязвимостей. Принципиально, что покрытие БДУ и западных баз не совпадает: в БДУ встречаются записи без пары в NVD (и наоборот), а имена компонентов в БДУ русифицированы и неканоничны. Поэтому привязка находок строится не по названию пакета, а по мосту BDU:YYYY-NNNNN → CVE-XXXX-YYYYY → PURL компонента. Ресурс открытый и бесплатный; экспорт уязвимостей публикуется файлом (XLSX/XML), то есть в работе это всегда снимок на конкретную дату.

Ключевые требования

Что значит «корректно использовать БДУ» в SCA/OSA - Национальный источник поверх международных. Для проектов под требования регулятора нельзя ограничиваться выводом Grype/OSV-Scanner: их фид — NVD/OSV/GHSA, а БДУ туда не входит. БДУ подключается как дополнительный источник к VDR. - Сопоставление по идентификатору, а не по имени. Мост к находкам строится через CVE из записи БДУ; поиск по русскому названию библиотеки даёт ложные совпадения. - Расхождение «есть в БДУ — нет в NVD» — это сигнал, а не шум. Такую находку нельзя молча закрыть по «зелёному» сканеру; она идёт в триаж и фиксируется в VEX с обоснованием статуса. - Снимок имеет дату. Выгрузка БДУ устаревает; обновление справочника — это управляемый регламент (кто, как часто, откуда, как фиксирует дату и версию), а не разовый grep. - Кодировка и формат экспорта учитываются. Выгрузка может быть в Windows-1251 и в табличном виде; перед сопоставлением её нормализуют, иначе мост по UTF-8 ничего не находит.

Что считать evidence

Таблица CVE-моста PURL → CVE → идентификатор БДУ для находок релиза, где явно отмечены строки-расхождения (CVE без пары в БДУ и записи БДУ без пары в NVD).
Файл экспорта БДУ с зафиксированной датой выгрузки и источником — без даты снимок не считается доказательным.
Запись в VEX/VDR по каждой БДУ-только находке: присвоенный статус (affected / not_affected / under_investigation) и обоснование, почему её закрыли или оставили.
Журнал планового обновления справочника: дата, кто выполнил, какая версия выгрузки заменила предыдущую (регламентный, а не разовый артефакт).
Протокол триажа, показывающий, что расхождение между национальным и международным источником разобрано, а не потеряно.

Маппинг на практики и шаблоны

Объект	Связь
Построение CVE-моста вручную	П10. БДУ ФСТЭК как национальный источник
Регламент планового обновления выгрузки	Порядок обновления БДУ
Триаж и фиксация решения по находке	Политика управления уязвимостями компонентов · П35. VEX triage
Разделение факта сканера и решения по нему	П09. VDR и VEX различие факта и решения
Место в курсе	М06. Поиск уязвимостей и управление VDR/VEX

Смежные источники в прозе: NVD · CVE · OSV.dev.

Ограничение

Это учебная карточка БДУ — живой ресурс: число записей и состав выгрузки меняются, идентификаторы и привязки к CVE регулятор актуализирует. Карточка описывает принцип работы с источником, а не его текущее содержимое. Для аудита и моделей угроз ГИС/ИСПДн/КИИ сверяйтесь напрямую с актуальной версией на bdu.fstec.ru и с действующей методикой оценки угроз, а не с этим конспектом.