Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

NVD

Для чего

NVD (National Vulnerability Database, NIST) — это слой обогащения поверх CVE List: к каждой записи CVE NVD добавляет вектор и оценку CVSS, привязку к слабостям CWE и формальный список затронутых конфигураций в виде CPE-критериев (cpe:2.3:...). Именно эти CPE-конфигурации позволяют сопоставлять уязвимость с продуктом по его координатам, а не только по тексту.

Как применяют

NVD отдаёт данные через NVD API 2.0 (JSON). Запрос конкретной записи и извлечение CVSS-вектора и CPE-критериев:

curl -s "https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2022-25883" \
  | jq '.vulnerabilities[0].cve | {id, metrics:.metrics.cvssMetricV31[0].cvssData, cpe:[.configurations[0].nodes[0].cpeMatch[0]]}'

Ключевой артефакт — CPE Match в конфигурации, по которому строится сопоставление «компонент ↔ уязвимость»:

{ "criteria": "cpe:2.3:a:npmjs:semver:*:*:*:*:*:node.js:*:*",
  "versionEndExcluding": "7.5.2", "vulnerable": true }

Сканеры, работающие по CPE (например, OWASP Dependency-Check), скачивают фид NVD целиком и матчат компоненты офлайн по этим критериям; для массовых выгрузок используют пагинацию API и инкрементальное обновление по lastModStartDate.

Сильные стороны

Готовые CVSS v3.1/v4.0 базовые оценки и векторы — основа для первичной приоритизации.
Структурированные CPE-конфигурации с диапазонами версий (versionStartIncluding/versionEndExcluding) — машинное сопоставление по координатам.
Привязка CVE→CWE даёт классификацию причины уязвимости.
Стабильный REST API 2.0 и официальные фиды для полного зеркалирования.

Ограничения

Хроническое отставание обогащения: с 2024 года у NVD большой беклог необогащённых CVE (нет CPE/CVSS) — «пусто в NVD» не равно «безопасно».
Сопоставление через CPE хрупкое: расхождение vendor/product в имени приводит к ложным минусам (см. практику CPE alias).
Без ключа API строгие лимиты частоты запросов; полная синхронизация фида занимает время.
Покрывает мировую базу CVE, но не заменяет национальный источник (БДУ ФСТЭК) для требований регулятора.

Offline / on-premise

Частично/да. NVD публикует фиды для полной локальной репликации; многие сканеры (Dependency-Check, Trivy и др.) кэшируют базу NVD и матчат компоненты без доступа в интернет после первичной загрузки. В закрытом контуре практикуется периодическая выгрузка фида на «чистой» машине и перенос в изолированную сеть. Прямые онлайн-запросы к services.nvd.nist.gov из изолированного контура невозможны.

Связанные темы

М06. Поиск уязвимостей и управление VDR/VEX · М04. Идентификаторы компонентов и уязвимостей

Смежные карточки: CVE · CWE · CPE · EPSS · CISA KEV · OSV.dev · БДУ ФСТЭК · OWASP Dependency-Check · Grype

Практики: П06. Grype поверх готового SBOM · П25. CPE alias worklist · П10. БДУ ФСТЭК как национальный источник