Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
План занятия (90 минут)
Цели занятия
К концу занятия слушатель: - даёт точные определения SCA, OSA, SBOM, ППК, SCS, VEX, VDR и объясняет, чем VDR отличается от VEX; - показывает на схеме, где заканчивается SCA и начинается OSA, и привязывает к этому угрозы 5.3.2 и 5.5.1 из ГОСТ Р 58412-2019; - на фрагменте CycloneDX отделяет факт состава от факта уязвимости и от решения о применимости.
Тайминг
| Мин | Блок | Формат | Что происходит |
|---|---|---|---|
| 0–7 | Разогрев-провокация | обсуждение | Вопрос в зал: «У нас есть SBOM — значит SCA закрыт?» Собрать ответы, не комментировать. Зафиксировать спор как мотивацию. |
| 7–25 | Семь терминов | лекция | Таблица терминов по двум осям «факт↔решение» и «состав↔доверие». Разобрать пару VDR/VEX отдельно и подробно. |
| 25–40 | Граница SCA/OSA | лекция + mermaid | Чертим на доске поток «разработчик → репозиторий → сборка → поставка → пользователь» и навешиваем 4 угрозы. Привязка к 5.3.2 и 5.5.1. |
| 40–55 | Демо чтения CycloneDX | демонстрация | Преподаватель открывает JSON и пальцем показывает: components (SBOM), vulnerabilities без analysis (VDR), блок analysis.state (VEX). |
| 55–80 | Практика в парах | ПЗ | Слушатели на своём/учебном продукте раскладывают понятия по таблице и определяют, какая угроза к какому термину относится (см. Практическая работа). |
| 80–90 | Сборка и рефлексия | обсуждение | Каждая пара называет одну угрозу, которую закрывает SCA, и одну, которую только OSA. Возврат к вопросу из разогрева. |
Материалы
- Конспект с таблицей терминов и двумя mermaid-схемами;
- учебный фрагмент CycloneDX JSON с блоками
components,vulnerabilities,analysis; - распечатка модели угроз цепочки поставки;
- доступ к нормативке: ГОСТ Р 58412-2019, ГОСТ Р 56939-2024, OWASP Top 10 A06.
Контрольная точка
Слушатель на произвольной строке отчёта безошибочно говорит, что это: состав (SCA), факт уязвимости (VDR), решение о применимости (VEX) или вопрос доверия к источнику (OSA). Это входной билет к М02.
Типичные затыки на занятии
Что подсветить заранее - Слушатели сворачивают OSA в «то же SCA, только про open source». Подчёркивайте: OSA — про доверие к источнику и поставке, а не про версии. - Пару VDR/VEX путают почти все. Держите наготове фразу: «VDR — что нашли, VEX — что это для нас значит».