Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Билет 04
Теоретический вопрос
Объясните разницу между PURL (package URL — устойчивый ключ компонента, выводимый из пакетного менеджера) и CPE (идентификатор для сопоставления с базами уязвимостей). Почему PURL хорош как первичный ключ компонента, но плохо стыкуется с CVE напрямую, а CPE — наоборот? Что такое «качество координат» и почему компонент с правильным именем, но без устойчивого идентификатора, фактически невидим для сканера уязвимостей?
Практический вопрос
Мини-кейс Дан фрагмент SBOM: компонент
pkg:generic/libfoo@unknownбез CPE и системная библиотекаlibssl3, у которой PURL есть, а CPE-алиас не разрешён. Постройте worklist доразметки: какие координаты восстановить, чем подтвердить версию, как сопоставитьlibssl3с CPE для поиска по CVE/БДУ. Покажите, на каком шагеpkg:genericfallback — это честная пометка слепой зоны, а не дефект.
Что должен показать ответ
- Источник факта: PURL из пакетного менеджера; CPE-алиас для сопоставления с базами уязвимостей.
- Инструмент: нормализация PURL и
pkg:genericfallback; ведение CPE alias worklist. - Владелец решения: качество координат — на специалисте композиционного анализа; принятие записи с пониженным confidence — по политике сервиса вердиктов.
- Нормативная опора: OWASP SCVS, ГОСТ Р 56939-2024.
- Evidence: worklist доразметки координат; запись соответствия PURL↔CPE для аудита.