Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

sbom-updater

Для чего

sbom-updater решает задачу «SBOM устаревает в момент создания»: он берёт уже сгенерированный документ и дополняет/обновляет его свежими данными — недостающими идентификаторами, актуальными лицензиями, ссылками на advisory и связями, которых не было на момент первичной генерации. Это шаг обогащения между «сырым» SBOM от генератора и SBOM, пригодным для триажа и портфельного учёта.

Как применяют

Обновление документа на месте с подключением источников обогащения:

sbom-updater --input sbom.cdx.json --output sbom.enriched.cdx.json

Инструмент дописывает к компонентам недостающие externalRefs (например, корректные PURL/CPE), уточняет лицензии и добавляет связи с известными уязвимостями, сохраняя формат документа. Результат — тот же SBOM, но «дозаполненный» под нужды нормативной трассировки и сканеров.

Точные флаги — из справки инструмента Имена ключей ввода/вывода и источников обогащения сверяйте с --help своей версии: набор опций у утилит этого класса различается. Логику обогащения направляйте на внутренний «генератор фактов (enrichment-утилита)», а не на публичные API.

Сильные стороны

Закрывает разрыв между разовой генерацией и поддержанием SBOM в актуальном состоянии.
Дополняет идентификаторы и лицензии, повышая полноту координат для последующего сканирования.
Сохраняет исходный формат — не ломает существующую трассировку.
Встраивается как промежуточный шаг конвейера между генератором и портфелем SBOM.

Ограничения

Грязный источник — грязное обогащение Если каталог обогащения неточен, sbom-updater уверенно впишет неверный CPE/лицензию, и ошибка станет выглядеть как проверенный факт. Источники обогащения должны быть доверенными и актуальными, иначе обновление ухудшает SBOM.

Не создаёт SBOM с нуля: качество результата ограничено тем, что было в исходном документе.
Обогащение лицензиями/advisory из внешних источников требует доверенных и актуальных каталогов.
Может вносить ложные сопоставления (например, неточный CPE), если источник обогащения «грязный».

Offline / on-premise

Обновление структуры и идентификаторов выполнимо офлайн. Обогащение из внешних каталогов (лицензии, advisory) требует сети — в закрытом контуре его направляют на внутренний «генератор фактов (enrichment-утилита)» и локальные зеркала, после чего внешний доступ не нужен.

Связанные темы

М05 Инструменты генерации SBOM · М06 Поиск уязвимостей · П34. SBOM quality gate · П24. PURL нормализация и private qualifiers · sbom-checker · Package URL · CPE