Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Кейс-задачи

Контрольные вопросы

Уровень 1 — определения 1. Дайте определение SCA и SBOM в одном предложении каждое. Почему SBOM не является результатом SCA, а является его входом? 2. Чем VDR отличается от VEX? Приведите по одному примеру записи каждого вида. 3. Что такое ППК и как это понятие соотносится с англоязычным BOM/SBOM? 4. Что описывает SCS (Supply Chain Security) и почему это понятие шире, чем «найти CVE в зависимостях»?

Уровень 2 — границы и связи 5. Где проходит граница между SCA и OSA? Сформулируйте через два разных вопроса, на которые они отвечают. 6. Какая угроза из ГОСТ Р 58412-2019 относится к зоне SCA, а какая — к зоне OSA? Назовите пункты. 7. Почему protestware и логическая закладка по гео-признаку плохо ловятся классическим SCA-сканом версий? Что закрывает этот пробел? 8. Что не так с массовым проставлением not_affected без поля justification? Это VEX или его имитация? 9. Почему транзитивные зависимости опаснее с точки зрения угрозы 5.3.2, чем прямые?

Уровень 3 — почему так 10. Объясните, почему наличие подписанного SBOM (SCS) не отменяет необходимость VEX-анализа. 11. Почему учёт состава ПО относят к security-by-design, а не к этапу тестирования? Свяжите с тем, что угрозы в ГОСТ — антропогенные и возникают по всему жизненному циклу.

Кейс-задачи

Кейс 1. «У нас же есть SBOM» Команда отчитывается: «SBOM генерируется на каждой сборке, значит SCA внедрён». Аудит находит, что выгрузка CVE не делается, лицензии не сверяются, VEX отсутствует. Что именно из терминологического набора реально внедрено, а что выдают за внедрённое? Какие угрозы остаются открытыми?

Кейс 2. Подменённое зеркало Зависимость скачивается с публичного зеркала. SCA-скан показывает: версия актуальная, CVE нет, лицензия чистая — «зелёно». Через неделю выясняется, что на зеркале лежал пакет с тем же именем и версией, но с дополнительным кодом. Почему SCA дал зелёный свет? Какая угроза по ГОСТ реализовалась (укажите пункт)? Какой контур — SCA или OSA — должен был это остановить и каким механизмом?

Кейс 3. Спор о словах в переписке Соисполнитель пишет: «Высылаем VEX по нашему модулю» — и прикладывает таблицу из 40 найденных CVE без единого решения о применимости. Терминологически это VEX или VDR? Что нужно добавить, чтобы это стало VEX? Сформулируйте один абзац ответа соисполнителю.