Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Главная карта
Учебная траектория
- М00. Ориентация в курсе и карта решений
- М01. Термины, угрозы и границы SCA OSA
- М02. SBOM и ППК как машинный источник фактов
- М03. Форматы SBOM: CycloneDX, SPDX, SWID
- М04. Идентификаторы компонентов и уязвимостей
- М05. Инструменты генерации SBOM
- М06. Поиск уязвимостей и управление VDR VEX
- М07. Лицензионная чистота и юридический workflow
- М08. Защита цепочки поставки и OSA
- М09. C и C++ legacy без дисциплины пакетного менеджера
- М10. Много исполнителей и корпоративная модель продукта
- М11. Корпоративный кейс: генератор фактов и сервис вердиктов
- М12. CodeScoring и подготовка пилота
- М13. Нормативная трассировка и доказательная база
- М14. Политики, исключения и принятие риска
- М15. Методика преподавания и итоговая аттестация
- М16. SBOM for AI и честный SBOM контейнерных образов
Практикум
- П01. Стенд WSL2 Docker и базовая гигиена
- П02. Чтение CycloneDX JSON руками
- П03. Генерация SBOM через Syft
- П04. Генерация SBOM через cdxgen для C C++
- П05. Trivy как генератор и сканер
- П06. Grype поверх готового SBOM
- П07. OSV-Scanner и lockfiles
- П08. Dependency-Track как портфель SBOM
- П09. VDR и VEX: различие факта и решения
- П10. БДУ ФСТЭК как национальный источник
- П11. ScanCode для лицензий
- П12. ORT и license policy
- П13. FOSSology как юридический workflow
- П14. Подпись SBOM через Sigstore
- П15. SLSA и in-toto provenance
- П16. GitLab CI security gate
- П17. OSA controlled repository policy
- П18. OSA Proxy режимы и ограничения
- П19. C/C++ make build inventory
- П20. CMake dependency graph
- П21. Conan graph и package identity
- П22. ELF dynamic dependencies
- П23. Статическая линковка как слепая зона
- П24. PURL нормализация и private qualifiers
- П25. CPE alias worklist
- П26. Лицензионная классификация
- П27. Юридическое заключение и реестр лицензий
- П28. Поставка от нескольких исполнителей
- П29. Readiness dashboard
- П30. Исключения и принятие риска
- П31. Пилот CodeScoring: make CMake qmake
- П32. CodeScoring offline architecture
- П33. AppSec и CodeScoring: сравнение по задаче
- П34. SBOM quality gate
- П35. VEX triage
- П36. Итоговый мини-проект
- П37. Контейнерный образ слои секреты и удаленные файлы
- П38. Честный SBOM контейнерного образа
- П39. SBOM for AI minimum elements
- П40. Огнестойкость РБПО и SCA процесс
Рабочие разделы
- CodeScoring
- Оглавление справочника
- include не равен зависимости
- Вопросы для пилота CodeScoring
- Матрица соответствия требованиям
- VEX в процессе РБПО - откуда берется и как выпускать
- SBOM for AI - минимальные элементы
- Контейнерные образы и честность SBOM
- Огнестойкость РБПО через композиционный анализ
- Обзор источников - полный разбор
- Итоговый проект