Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

БДУ ФСТЭК

Для чего

БДУ ФСТЭК — Банк данных угроз безопасности информации, национальный источник сведений об уязвимостях и угрозах (bdu.fstec.ru). Для проектов под требования регулятора это обязательный источник наряду с NVD/OSV: в БДУ встречаются уязвимости, которых нет в международных базах, а каждая запись имеет собственный идентификатор BDU:20XX-XXXXX и собственную оценку. Большинство записей несёт ссылку на соответствующий CVE — это и есть «CVE-мост» между национальным и международным учётом.

Как применяют

БДУ публикует полную выгрузку уязвимостей файлом (XLSX/XML, vullist) на сайте; работа идёт со снимком, а не с онлайн-сканером. Типовой приём — сшить находки VDR (PURL + CVE) с записями БДУ по идентификатору CVE:

# 1. Из VDR достать пары "компонент -> CVE"
jq -r '.vulnerabilities[] | [.affects[0].ref, .id] | @tsv' vdr.cdx.json
# pkg:npm/semver@7.3.7   CVE-2022-25883

# 2. Выгрузку БДУ привести к CSV и искать по CVE
#    (выгрузка часто в Windows-1251 — перекодировать перед поиском)
iconv -f cp1251 -t utf-8 bdu_export.csv | grep -i "CVE-2022-25883"
# BDU:2023-05678;CVE-2022-25883;Уязвимость библиотеки semver...;7.5;Подтверждена

Результат — таблица сопоставления PURL → CVE → BDU:ID с явной фиксацией расхождений «есть в БДУ — нет в NVD» и наоборот: именно расхождения уходят в триаж и не закрываются молча.

Сильные стороны

Национальный охват: содержит записи, отсутствующие в NVD/OSV, — критично для требований регулятора.
Собственный идентификатор и оценка уязвимости; ссылка на CVE даёт мост к международным источникам.
Полная выгрузка одним файлом — пригодна для офлайн-сшивки и аудита по фиксированной дате.
Юридически значимый источник для доказательной базы соответствия в РФ.

Ограничения

Имена компонентов на русском и неканоничны — надёжный матчинг только по идентификатору CVE, не по строке пакета.
Кодировка выгрузки (Windows-1251) ломает наивный поиск по UTF-8 — нужна перекодировка.
Нет PURL/диапазонов версий в машинном виде, как в OSV — автоматический матчинг по координатам ограничен.
Выгрузка — снимок на дату; без регламента обновления легко работать на устаревшем справочнике.
Часть записей не имеет CVE-пары — такие национальные находки не сшиваются автоматически.

Offline / on-premise

Частично/да. Вся база доступна как скачиваемая выгрузка (XLSX/XML), что идеально ложится на закрытый контур: файл получают на «чистой» машине, переносят и обновляют по регламенту (кто, как часто, откуда, как фиксирует дату выгрузки как часть evidence). Онлайн-API для матчинга, как у OSV, отсутствует — работают со снимком и сшивают по CVE локально.

Связанные темы

М06. Поиск уязвимостей и управление VDR/VEX · М13. Нормативная трассировка и доказательная база

Смежные карточки: CVE · NVD · OSV.dev · CISA KEV · Package URL · CPE

Нормативка: БДУ ФСТЭК · ГОСТ Р 56939-2024

Практики: П10. БДУ ФСТЭК как национальный источник · П09. VDR и VEX различие факта и решения · П35. VEX triage