Исторический профиль на TAdviser недоступен; ссылка ведёт на сайт разработчика.

Обзор источников - полный разбор

1. Базовые понятия и терминология

• Palo Alto Networks — What Is SCA — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Wiz — Guide To Standard SBOM Formats — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Sonatype — SCA Tools (обзор концепции) — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Прозрачность в цепочке поставок ПО (рус. Википедия, со ссылками на НПА) — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Инструкция по SCA: генерация SBOM, инструменты, отличия (Хабр, Swordfish) — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Гайд по SCA на русском (picktech) — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.

2. Форматы SBOM и стандарты обмена

• Официальный сайт — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.
• Обзор и история версий — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.
• Инструменты SPDX — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.
• Список лицензий SPDX — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.
• Анонс ISO/IEC 5962:2021 (Linux Foundation) — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.
• Анонс SPDX 3.0 — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.
• Подробный разбор (FOSSA) — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.
• Официальный сайт — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.
• OWASP-страница проекта (ECMA-424) — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.
• Tool Center (каталог совместимых инструментов) — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.
• Спецификация и схемы — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.
• NIST SWID — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.
• Что такое SBOM, SPDX vs CycloneDX (рус., Axiom JDK) — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.

3. Идентификаторы компонентов и уязвимостей

• Спецификация (репозиторий) — Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями.
• FAQ (отличия от CPE) — Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями.
• Понятное объяснение (FOSSA) — Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями.
• Проект AboutCode о purl — Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями.
• CPE в NVD — Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями.
• Маппинг purl↔CPE (purl2cpe, AboutCode) — Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями.
• Рекомендации SBOM Forum по улучшению NVD (OWASP) — Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями.
• CVE Program — Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями.
• CWE — Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями.
• MITRE ATT&CK (модель угроз, контекст) — Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями.

4. Open source инструменты: генерация SBOM

• Репозиторий — Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат.
• Документация и руководства — Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат.
• Гайд по генерации SBOM свободными инструментами — Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат.
• Репозиторий — Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат.
• OWASP-страница — Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат.
• Репозиторий — Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат.
• Tern (анализ контейнерных образов, SPDX/CycloneDX) 🟢 — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.
• SPDX SBOM Generator 🟢 — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.
• Trivy (умеет генерировать SBOM, см. §5) 🟢 — Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат.
• Сравнение генераторов (Sbomify) — Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат.
• Практический разбор Syft в CI/CD — Применять в практикуме генерации SBOM и сравнении инструментов: какой вход поддерживается, какие поля теряются, как валидировать результат.

5. Open source инструменты: поиск уязвимостей (SCA)

• Репозиторий — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• Репозиторий — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• Репозиторий сканера — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• Документация — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• База и сервис OSV — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• OWASP-страница — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• Репозиторий — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• Репозиторий — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.

6. Open source инструменты: управление SBOM

• Официальный сайт — Включить в архитектуру корпоративного контура: хранение SBOM, повторный анализ, VDR/VEX, политика, портфель проектов и связь с readiness.
• OWASP-страница — Включить в архитектуру корпоративного контура: хранение SBOM, повторный анализ, VDR/VEX, политика, портфель проектов и связь с readiness.
• Документация — Включить в архитектуру корпоративного контура: хранение SBOM, повторный анализ, VDR/VEX, политика, портфель проектов и связь с readiness.
• Гайд OWASP Developer Guide — Включить в архитектуру корпоративного контура: хранение SBOM, повторный анализ, VDR/VEX, политика, портфель проектов и связь с readiness.
• Сайт — Включить в архитектуру корпоративного контура: хранение SBOM, повторный анализ, VDR/VEX, политика, портфель проектов и связь с readiness.
• Репозиторий — Включить в архитектуру корпоративного контура: хранение SBOM, повторный анализ, VDR/VEX, политика, портфель проектов и связь с readiness.
• protobom — нейтральная к формату библиотека/протобуф-модель для чтения/записи SPDX и CycloneDX (OpenSSF) — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.
• bomctl — инструмент маршрутизации/операций над SBOM «между» инструментами (OpenSSF sandbox) — Включить в архитектуру корпоративного контура: хранение SBOM, повторный анализ, VDR/VEX, политика, портфель проектов и связь с readiness.
• OWASP Dependency Graph SBOM Cheat Sheet — Включить в архитектуру корпоративного контура: хранение SBOM, повторный анализ, VDR/VEX, политика, портфель проектов и связь с readiness.

7. Open source инструменты: лицензионный анализ

• Репозиторий — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• Экосистема AboutCode (LicenseDB, VulnerableCode, PURL, VERS) — Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями.
• Сайт — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• Репозиторий — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• Репозиторий — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• Сайт — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• Репозиторий — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• ClearlyDefined — курируемые метаданные о лицензиях/копирайтах/происхождении компонентов 🟢 — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• Grant (Anchore) — проверка лицензионных правил поверх SBOM 🟢 — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• ScanOSS — открытый сканер + открытая база знаний (OSSKB) 🟡 — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• Обзор открытых сканеров лицензий (Aikido) — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• Linux Foundation — процесс комплаенса для разработчиков — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• Курируемый список ресурсов комплаенса (Validos) — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• Ландшафт OSS-инструментов комплаенса — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.

8. Целостность и происхождение артефактов (provenance)

• Сайт и спецификация — Включить в блок защиты цепочки поставки: подпись, происхождение артефакта, воспроизводимость и доверие к pipeline.
• «EO in Plain English» (связь с SSDF) — Включить в блок защиты цепочки поставки: подпись, происхождение артефакта, воспроизводимость и доверие к pipeline.
• Сайт — Включить в блок защиты цепочки поставки: подпись, происхождение артефакта, воспроизводимость и доверие к pipeline.
• Сайт — Включить в блок защиты цепочки поставки: подпись, происхождение артефакта, воспроизводимость и доверие к pipeline.
• Репозиторий — Включить в блок защиты цепочки поставки: подпись, происхождение артефакта, воспроизводимость и доверие к pipeline.
• OpenSSF (Open Source Security Foundation) — Включить в блок защиты цепочки поставки: подпись, происхождение артефакта, воспроизводимость и доверие к pipeline.

9. Коммерческие и индустриальные платформы

• OX Security — 10 Best SCA Tools 2025 — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Cycode — SCA Buyer's Guide — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Mend — Mend SCA documentation — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Kiuwan — 10 Leading SCA Tools — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Planet Crust — Open-Source SCA Tools Comparison — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.

10. Базы данных уязвимостей и фиды

• NVD (National Vulnerability Database, NIST) — обогащённые CVE с CPE/CVSS — Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями.
• OSV.dev (Google) — открытая распределённая БД, агрегирует 30+ источников (GitHub Advisories, RustSec, PyPI, Go и др.) в машиночитаемом формате OSV с точным указанием затронутых версий — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• GitHub Advisory Database — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• OSS Index (Sonatype) — бесплатный фид/API по компонентам — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• VulnerableCode (AboutCode) — открытая БД с привязкой к purl, публичный инстанс — Включить в блок про проблему именования компонентов: PURL удобен для пакетных экосистем, CPE важен для NVD, CVE/CWE связывают компонентный учет с управлением уязвимостями.
• EPSS (Exploit Prediction Scoring System) — вероятность эксплуатации, для приоритизации — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• deps.dev (Google Open Source Insights) — граф зависимостей, лицензии, метрики, advisories — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• CISA KEV (Known Exploited Vulnerabilities) — каталог реально эксплуатируемых — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• VEX (Vulnerability Exploitability eXchange) — статус эксплуатируемости (affected / not_affected / fixed / under_investigation); резко снижает ложные срабатывания. Профиль есть в CycloneDX; формат OpenVEX — Использовать как опору для выбора формата SBOM/ППК, проверки обязательных полей и объяснения различий CycloneDX, SPDX и SWID.
• CSAF (Common Security Advisory Framework, OASIS) — машиночитаемые бюллетени безопасности — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• БДУ ФСТЭК России (банк данных угроз и уязвимостей) — основной источник по требованиям ФСТЭК; на момент составления 80 000+ уязвимостей, CVSS v2/v3/v4, ссылки на CVE — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• БДУ для АСУ ТП — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• Раздел ФСТЭК «Техническая защита информации» — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• Объяснение работы с БДУ (Selectel) — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.

11. Нормативная база: США

• Текст (Federal Register) — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• Страница CSRC — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• PDF — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• Страница — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• PDF — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• Страница ресурса — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• PDF чернового документа — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• Хаб CISA по SBOM — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• Библиотека ресурсов SBOM (вкл. мировые НПА) — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• NIST — SBOM в цепочках поставок ПО — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• FOSSA — SBOM Compliance Requirements — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• Sonatype — что значит CISA 2025 для агентств — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.

12. Нормативная база: Евросоюз и Германия

• Обзор требований (Anchore) — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• Разбор (Sbomify) — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• Разбор (FOSSA) — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• Страница BSI (EN) — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• TR-03183-2 v2.1.0 — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• Разбор (FOSSA) — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• OpenSSF — SBOM в эпоху CRA (к единому фреймворку) — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.

13. Открытые стандарты и фреймворки безопасности

• ISO/IEC 5230 (OpenChain) — стандарт качества процессов open source комплаенса; ISO/IEC 18974 — безопасность open source. Сайт — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• OWASP-страница — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Сайт — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Репозиторий (машиночитаемые версии) — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• OWASP Top 10 — A06:2021 Vulnerable and Outdated Components — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• OWASP DevSecOps / Developer Guide — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.

14. Российский контекст: РБПО, ГОСТ, ФСТЭК

• Карточка во ФГБУ «Институт стандартизации» — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Карточка в Фонде стандартов — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Обзор ГОСТа (Selectel) — Использовать как нормативную привязку к проверяемым артефактам: регламент, SBOM/ППК, управление уязвимостями и доказательная база.
• Обзор (RadCop) — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Информационный ресурс по РБПО (PVS-Studio) — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Единый реестр российского ПО (Минцифры) — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Курс «Разработка безопасного ПО» (УЦ «Эшелон») — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.

15. CodeScoring — детальный разбор

• Документация (RU) — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• Документация (EN) — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• Полная документация PDF — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• Сайт продукта — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• Сайт продукта — https://codescoring.ru/ ; модуль SCA — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• CodeScoring.SCA — анализ манифестов, разрешение транзитивных зависимостей, идентификация open source включений в коде; строит реестр компонентных связей (SBOM), обогащённый данными об уязвимостях и лицензиях. Документация: запуск сканирования, обзор зависимостей, работа с уязвимостями, история, выгрузка результатов — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• CodeScoring.OSA — работа с open source на уровне репозиториев/реестров образов, политики OSA, обновление данных о компонентах. Плагины для Nexus, JFrog, Сфера. Сервис OSA Proxy (и OSA Proxy Go) — перенос композиционного анализа на самый ранний этап (момент установки пакетов) с блокировкой небезопасных пакетов при загрузке из внешних индексов; поддержка Maven, NPM, NuGet, PyPI, Go, Composer, RubyGems, Debian, Docker, Alpine (APK), RPM — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• CodeScoring.Save — управление приватными репозиториями (Go, Maven, NPM, NuGet, OCI, PyPI) с интеграцией в OSA — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• CodeScoring.Secrets — поиск секретов, в т.ч. ML-модель — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• CodeScoring.TQI — оценка качества и техдолга, отслеживание клонов кода, анализ авторского состава — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• docs.codescoring.ru — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• Сканирование сборки C/C++ — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• Анализ достижимости — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• Подпись/верификация SBOM — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• Потоки данных (фиды):* NVD CVE, БДУ ФСТЭК, GHSA, OSS Index, OSV (15 экосистемных фидов) с дедупликацией; фид protestware; Kaspersky OSS Threats Data Feed; OSS Index — Использовать для лабораторных работ по поиску уязвимостей и для объяснения различий NVD, OSV, GitHub Advisory, distro feeds и false positive.
• CodeScoring — официальный сайт — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• Обзор рынка SCA (Anti-Malware) — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• Хабр компании — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• Telegram-канал — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.

16. Российские инструменты SCA/OSA

• Продукт — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Архитектура/модуль SCA — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Что такое SBOM (блог «Солар») — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• PT Application Inspector / PT BlackBox (Positive Technologies) 🇷🇺 — SAST/DAST с элементами анализа зависимостей — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Сфера. Код / Платформа «Сфера» 🇷🇺 — DevSecOps-инструменты (есть плагин OSA-интеграции у CodeScoring) — Использовать для подготовки пилота и вопросов поставщику: C/C++ build scan, OSA Proxy, offline/on-premise, права агента, ограничения бинарного анализа.
• Swordfish Security 🇷🇺 — практики и оркестрация AppSec/SCA (полезные методические материалы на Хабре) — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• PVS-Studio 🇷🇺 — статический анализ (смежно с РБПО), большой образовательный ресурс по РБПО — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.

17. Лицензии и лицензионная чистота

• OSI (Open Source Initiative) — одобренные лицензии — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• FSF — комментарии к лицензиям и совместимость с GPL — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• GPL FAQ (FSF) — трактовки copyleft, статической/динамической линковки — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• AboutCode LicenseDB (2500+ лицензий) — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• choosealicense.com (популярное введение) — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• FOSSA — разбор судебной практики по нарушению OSS-лицензий — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.
• Linux Foundation Open Compliance Program — Использовать для раздела лицензионной чистоты: обнаружение лицензий, SPDX expressions, NOTICE, исключения и юридический workflow.

18. Отраслевые отчёты и статистика заимствований

• Лендинг отчёта — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Разбор данных OSSRA — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Итоги 2026 (рост уязвимостей, ИИ) — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Отчёт — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Статистика атак на цепочку поставок (агрегатор фактов) — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Академический разбор скрытых издержек и рисков OSS — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Sonatype/Forrester Wave SCA 2024 — см. — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.

19. Образовательные материалы и курируемые подборки

• awesome-software-supply-chain-security (исчерпывающая подборка, акцент на open source, видео FOSDEM/KubeCon) — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Snyk Learn — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• OpenSSF — курс LFD121 (Developing Secure Software, бесплатный) — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• OWASP Cheat Sheet Series (Dependency Graph SBOM, Vulnerable Dependency Mgmt) — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Глоссарий SecurityLab / SecPost (термины SBOM/SCA) — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.
• Глоссарий SecurityLab / SecPost (термины SBOM/SCA) — https://www.securitylab.ru/glossary/sbom/ · — Включить как справочный источник: определить, к какому модулю курса относится, и использовать в списке дополнительного чтения.