Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
AppSec.Hub
Контекст Платформа оркестрации проверок безопасности в конвейере (DevSecOps-orchestration): запускает сторонние сканеры на этапах CI/CD, нормализует их вывод и проводит сборку через единый набор политик и gate. В курсе — вторая половина пары «надстройка над данными»: в отличие от витрины AppSec.Track, акцент здесь на исполнении проверок в pipeline, а не на портфельной отчётности.
Для чего
Встраивает SCA/SAST/секреты/OSA-шаги в сборку как управляемый набор задач, единообразно собирает их результаты и принимает решение gate «пропустить / остановить». Снимает с команд ручную обвязку каждого сканера в каждом pipeline и переносит порог и политику в одно место.
Как применяют
Подключается к CI/CD-оркестратору (например, GitLab CI) и запускает сконфигурированные сканеры на коммит/MR; результат нормализуется и проверяется против политики, exit-код решает судьбу сборки:
триггер: commit / merge request
оркестрация: SCA + SAST + secret-скан как шаги pipeline
нормализация: разнородные отчёты → единый формат находок
gate: политика/порог → пропустить либо остановить сборку
Как и любая оркестрация, результат целиком зависит от того, какие сканеры подключены и насколько глубоко они извлекают состав.
Сильные стороны
- Единые политики и gate на множество сканеров — не нужно поддерживать обвязку в каждом репозитории отдельно.
- Нормализация разнородного вывода: SCA, SAST и секреты приходят в сопоставимом виде, gate работает по общим правилам.
- Естественно ложится на CI-контур: проверки привязаны к коммиту, решение — exit-код сборки.
Ограничения
- Оркестратор, а не источник состава. Глубину C/C++-инвентаризации задаёт подключённый сканер; AppSec.Hub его не заменяет и не восстанавливает состав, который тот не извлёк.
- Покрытие напрямую зависит от набора интеграций и их фидов — «много шагов в pipeline» не означает полноту анализа.
- Для задачи курса (C/C++ legacy без манифеста) ценен как механизм запуска и gate, но первичным решением остаётся build-level сканер.
Offline / on-premise
Частично. Платформа разворачивается on-premise и встраивается в self-managed CI, но офлайн-работоспособность ограничена тем, заведены ли в закрытый контур сами подключённые сканеры и их базы; собственного анализа состава у оркестратора нет.
Связанные темы
- Модули: М12. CodeScoring и подготовка пилота · М08. Защита цепочки поставки и OSA
- Практики: П33. AppSec и CodeScoring сравнение по задаче · П16. GitLab CI security gate
- Смежные карточки: AppSec.Track · CodeScoring · GitLab CI