Пиков / КАПО
Библиотека
Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Порядок загрузки VDR из Dependency-Track

Назначение

Порядок описывает выгрузку отчёта об уязвимостях (VDR — Vulnerability Disclosure Report) из портфеля SBOM в Dependency-Track и его приведение к виду, пригодному для релизного evidence и triage. Цель — получить воспроизводимый VDR, привязанный к конкретной версии проекта и дате выгрузки.

Когда применяется

Предусловия

Шаги

  1. Выбрать проект и версию. Открыть нужный проект; зафиксировать его версию и дату последнего анализа.
  2. Дождаться завершения анализа. Убедиться, что число проанализированных компонентов = числу компонентов SBOM; иначе VDR неполон.
  3. Выгрузить VDR. Сформировать отчёт об уязвимостях в машиночитаемом виде (CycloneDX VDR / экспорт findings) на уровне версии проекта.
  4. Приложить VEX. Наложить актуальные VEX-статусы (affected / not_affected / under_investigation / fixed) — VDR без VEX не является решением, только фактом. VEX принимается только от ответственного issuer по продукту и версии; детали — VEX в процессе РБПО.
  5. Проверить идентификаторы. Убедиться, что у findings есть CVE и/или BDU и корректный PURL компонента.
  6. Зафиксировать coverage. Записать число компонентов без анализа и долю suppressed findings — это влияет на доверие к отчёту.
  7. Сохранить как evidence. Имя файла = <продукт>-<версия>-VDR-<дата>; приложить ссылку на проект в сервисе аудита/вердиктов.
  8. Передать в triage. Новые affected направить в политику уязвимостей и Паспорт риска компонента.

VDR ≠ VEX VDR — это перечень обнаруженных уязвимостей (факт). VEX — заявление о применимости (решение). Релизный пакет должен содержать оба и явно разделять их (см. П09. VDR и VEX различие факта и решения и VEX в процессе РБПО). Upstream advisory или VEX поставщика библиотеки можно приложить как evidence, но он не заменяет VEX вашего продукта.

Нулевой VDR без проверки coverage Пустой отчёт по уязвимостям при неполном анализе компонентов — не доказательство чистоты. Сначала закрыть пробел в анализе (шаг 2).

Контрольные поля выгрузки

Поле Что проверить
Проект / версия соответствует релизу
Дата анализа не старше порога свежести фидов
Компонентов всего / проанализировано равны
Findings: affected / not_affected / under_investigation заполнены VEX
Issuer VEX указан владелец решения для версии продукта
Suppressed (с обоснованием) каждый — со ссылкой на исключение
Evidence VEX есть ссылка на SBOM/ППК, triage issue, reachability/build evidence

Связь с курсом