Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

TruffleHog

Для чего

TruffleHog ищет не уязвимости компонентов, а утёкшие секреты: API-ключи, токены, приватные ключи, строки подключения — в git-истории, файловой системе, контейнерных образах и их слоях. Ключевая особенность — верификация: для многих типов секретов инструмент делает реальный (или офлайн-криптографический) тест и помечает находку как verified, что резко снижает поток ложных срабатываний по сравнению с регулярками.

Как применяют

Сканируют всю git-историю (секрет, удалённый в последнем коммите, остаётся в предыдущих) и слои образа, оставляя в отчёте только подтверждённые находки:

Команда

# вся история репозитория, только подтверждённые секреты, JSON
trufflehog git file://. --only-verified --json > secrets.json
# слои контейнерного образа
trufflehog docker --image=my-image:tag --only-verified
# каталог/распакованная ФС
trufflehog filesystem ./path --only-verified

В CI флаг --fail даёт ненулевой код выхода при наличии находок — это и есть гейт. JSON-запись содержит DetectorName (тип секрета), Verified (булево), SourceMetadata с файлом/коммитом и фрагментом. Для подавления заведомо тестовых ключей используют --exclude-detectors и файл исключений по путям.

Сильные стороны

Верификация секретов (--only-verified) отсеивает большинство FP: остаётся то, что действительно валидно или криптографически корректно.
Сканирует git-историю целиком, а не только текущее дерево, — ловит секреты, «удалённые» в свежем коммите, но живущие в прошлом.
Понимает контейнерные образы послойно: находит ключи в промежуточных слоях, даже если из финального файл удалён.
Сотни детекторов под конкретные провайдеры; машинный JSON удобно подавать в гейт и в реестр инцидентов.

Ограничения

Отрицательный результат не доказывает отсутствие секретов: нестандартные форматы, шифрование, бинарные упаковки и экзотические архивы могут быть пропущены.
Режим --only-verified для онлайн-верификации обращается к внешним сервисам провайдеров — это и сеть, и риск «засветить» проверкой живой ключ.
Не оценивает уязвимости компонентов и лицензии — это отдельный инструмент рядом с SCA-сканером, а не его замена.
На больших монорепозиториях с длинной историей скан ощутимо долгий; нужна настройка области (ветки, глубина, исключения).

Offline / on-premise

Да. Само обнаружение работает локально без сети: бинарь и набор детекторов автономны, сканирование git/ФС/образов не требует интернета. Ограничение касается только онлайн-верификации части детекторов — её можно отключить и работать в полностью закрытом контуре (находки тогда помечаются как неподтверждённые, FP больше, но утечки в сеть нет).

Связанные темы

М08 Защита цепочки поставки и OSA · М16 Честный SBOM контейнерных образов Практика: П37. Контейнерный образ: слои, секреты, удалённые файлы · П38. Честный SBOM контейнерного образа · П16. GitLab CI security gate Смежные карточки: Trivy · Docker BuildKit · GitLab CI · OpenSSF Scorecard