Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
План занятия (120 мин)
Цели
- Объяснить архитектуру двух сервисов Организации и провести границу факты ↔ решения.
- Показать весь конвейер: артефакт соисполнителя → обогащение → артефакт-репозиторий → аудит/вердикты → Dependency-Track (VDR) → readiness.
- Дать слушателю навык: для любой стрелки конвейера назвать владельца, артефакт-доказательство и сторону границы (факт или решение).
- Связать кейс с SSDF PS.3.2/RV.1, ГОСТ Р 56939-2024 и БДУ ФСТЭК.
Материалы
- Конспект 01 Конспект (диаграмма конвейера на экран).
- Демо-окружение Astra/Debian с установленным генератором фактов (
enrich-sbom), параraw-bom.json+ каталог ELF. - Развёрнутый экземпляр сервиса аудита/вердиктов и инстанс Dependency-Track с подтянутым фидом.
- Практики П28 и П29.
Ход занятия
| Мин | Блок | Что происходит |
|---|---|---|
| 0–10 | Вводный кейс | На сыром cdxgen-SBOM C/C++-компонента анализатор нашёл 2 CVE. Вопрос залу: это «чисто» или мы не видим библиотек? Подводка к проблеме обогащения. |
| 10–30 | Лекция: два контура | Архитектура. Генератор фактов (ELF→DEB, обогащение из реестров) vs сервис вердиктов (юр./уязв. workflow, readiness). Разбор границы факты/решения по диаграмме конспекта. |
| 30–40 | Лекция: нормативная привязка | SSDF PS.3.2/RV.1 как карта двух контуров; ГОСТ Р 56939-2024 — управляемость; роль VDR/VEX и БДУ. |
| 40–60 | Демо 1: генератор фактов | Запуск команды генератора фактов enrich-sbom raw-bom.json enriched-bom.json --component-path ./build/bin. Сравнение «до/после»: появились purl, нормализованные лицензии, evidence binary-analysis, DEB-маппинг. |
| 60–75 | Демо 2: сервис вердиктов + VDR | Загрузка обогащённого bom.json, выпуск лицензионного вердикта, импорт в Dependency-Track, чтение VDR, сбор readiness. Подчёркиваем: состав не меняется. |
| 75–110 | ПЗ в парах | По 03 Практической работе: прогнать артефакт через обе стадии, найти, где факт подменён решением, оформить readiness-вывод. |
| 110–120 | Рефлексия | Что закрепить в регламенте Организации: где проходит граница, какой gate безопасен, как не выдать пустой VDR за готовность. |
Контрольная точка
Слушатель на схеме конвейера показывает: какой артефакт является источником факта, где факт превращается в решение, кто это решение подписывает и чем оно подтверждается на аудите. Дополнительно — называет хотя бы одну слепую зону (например, «зелёный readiness при не подтянутом фиде VDR»).