Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Требования к CI security gate
Назначение Задаёт условия и пороги, при которых CI security gate блокирует сборку, и единый путь исключений. Превращает решения SCA/OSA в автоматическую проверку пайплайна: сборка не проходит дальше, пока не выполнены пороги по уязвимостям, лицензиям и качеству SBOM.
Когда применяется
В каждом пайплайне сборки релиз-кандидата (шаг 9 регламента). Срабатывает на каждый коммит в релизную ветку и на каждую сборку артефакта поставки.
Условия gate и реакция
Break-build (сборка падает) Эти условия останавливают пайплайн без обхода кроме формального исключения.
| # | Условие | Порог | Реакция |
|---|---|---|---|
| 1 | Критическая уязвимость в компоненте | CVSS ≥ 9.0 без VEX «not affected» | break-build |
| 2 | Высокая уязвимость с known exploit (CISA KEV) | любая в KEV | break-build |
| 3 | Запрещённая лицензия (blacklist) | AGPL/«copyleft» в проприетарном продукте и т.п. | break-build |
| 4 | malware / protestware в зависимостях | любое срабатывание | break-build |
| 5 | Неопознанные компоненты выше лимита | > 5% компонентов без PURL/CPE | break-build |
| 6 | SBOM не проходит quality gate | см. Чек-лист качества CycloneDX | break-build |
| 7 | Высокая уязвимость без триажа | CVSS 7.0–8.9, нет VEX-решения | warn → break после SLA триажа |
| 8 | Неизвестная лицензия | лицензия не классифицирована | warn, задача юристу |
| 9 | Отсутствует подпись/attestation артефакта | нет подписи SBOM | warn (для controlled-контура — break) |
Требования к реализации gate
- [ ] Gate выполняется как обязательный шаг пайплайна, отключение запрещено правами.
- [ ] Результат gate сохраняется как evidence (gate-отчёт в Матрица evidence для аудита).
- [ ] Пороги вынесены в политику как код, изменение порогов проходит ревью.
- [ ] Gate работает offline-совместимо (см. Требования к offline обновлениям).
- [ ] Источник фактов — «генератор фактов (enrichment)», вердикт — «сервис аудита/вердиктов».
Путь исключения
- Исключение оформляется только через Реестр исключений и Порядок принятия риска (обоснование, владелец, срок).
- Override блокировки доступен только роли «Утверждающий вердикт» (см. Модель ролей в сервисе аудита).
- Каждый override пишется в audit trail с reason и сроком.
Связь с курсом
- Модули: М08 Защита цепочки поставки и OSA, М14 Политики, исключения и принятие риска, М06 Поиск уязвимостей и управление VDR VEX.
- Практики: П16. GitLab CI security gate, П34. SBOM quality gate, П35. VEX triage.
- Нормативка: NIST SP 800-218 SSDF (PW.4/RV.1), ГОСТ Р 56939-2024.