Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
🧪 Карта практик
Живая карта Список строится
dataviewиз frontmatter практик. Добавите новую практику с полемtype: practice— она появится здесь автоматически. Нужен включённый плагин Dataview и режим чтения.
Все практики по модулям
- П01. Стенд WSL2 Docker и базовая гигиена
- П02. Чтение CycloneDX JSON руками
- П03. Генерация SBOM через Syft
- П04. Генерация SBOM через cdxgen для C/C++
- П05. Trivy как генератор и сканер
- П06. Grype поверх готового SBOM
- П07. OSV-Scanner и lockfiles
- П08. Dependency-Track как портфель SBOM
- П09. VDR и VEX: различие факта и решения
- П10. БДУ ФСТЭК как национальный источник
- П11. ScanCode для лицензий
- П12. ORT и license policy
- П13. FOSSology как юридический workflow
- П14. Подпись SBOM через Sigstore
- П15. SLSA и in-toto provenance
- П16. GitLab CI security gate
- П17. OSA controlled repository policy
- П18. OSA Proxy режимы и ограничения
- П19. C/C++ make build inventory
- П20. CMake dependency graph
- П21. Conan graph и package identity
- П22. ELF dynamic dependencies
- П23. Статическая линковка как слепая зона
- П24. PURL нормализация и private qualifiers
- П25. CPE alias worklist
- П26. Лицензионная классификация
- П27. Юридическое заключение и реестр лицензий
- П28. Поставка от нескольких исполнителей
- П29. Readiness dashboard
- П30. Исключения и принятие риска
- П31. Пилот CodeScoring: make CMake qmake
- П32. CodeScoring offline architecture
- П33. AppSec и CodeScoring: сравнение по задаче
- П34. SBOM quality gate
- П35. VEX triage
- П36. Итоговый мини-проект
- П37. Контейнерный образ: слои, секреты, удалённые файлы
- П38. Честный SBOM контейнерного образа
- П39. SBOM for AI: minimum elements
- П40. Огнестойкость РБПО и SCA-процесс
Только C/C++ (ядро курса)
- П01. Стенд WSL2 Docker и базовая гигиена
- П02. Чтение CycloneDX JSON руками
- П03. Генерация SBOM через Syft
- П04. Генерация SBOM через cdxgen для C/C++
- П05. Trivy как генератор и сканер
- П06. Grype поверх готового SBOM
- П07. OSV-Scanner и lockfiles
- П08. Dependency-Track как портфель SBOM
- П09. VDR и VEX: различие факта и решения
- П10. БДУ ФСТЭК как национальный источник
- П11. ScanCode для лицензий
- П12. ORT и license policy
- П13. FOSSology как юридический workflow
- П14. Подпись SBOM через Sigstore
- П15. SLSA и in-toto provenance
- П16. GitLab CI security gate
- П17. OSA controlled repository policy
- П18. OSA Proxy режимы и ограничения
- П19. C/C++ make build inventory
- П20. CMake dependency graph
- П21. Conan graph и package identity
- П22. ELF dynamic dependencies
- П23. Статическая линковка как слепая зона
- П24. PURL нормализация и private qualifiers
- П25. CPE alias worklist
- П26. Лицензионная классификация
- П27. Юридическое заключение и реестр лицензий
- П28. Поставка от нескольких исполнителей
- П29. Readiness dashboard
- П30. Исключения и принятие риска
- П31. Пилот CodeScoring: make CMake qmake
- П32. CodeScoring offline architecture
- П33. AppSec и CodeScoring: сравнение по задаче
- П34. SBOM quality gate
- П35. VEX triage
- П36. Итоговый мини-проект
- П37. Контейнерный образ: слои, секреты, удалённые файлы
- П38. Честный SBOM контейнерного образа
- П39. SBOM for AI: minimum elements
- П40. Огнестойкость РБПО и SCA-процесс
Практики с CI-гейтом
- П01. Стенд WSL2 Docker и базовая гигиена
- П02. Чтение CycloneDX JSON руками
- П03. Генерация SBOM через Syft
- П04. Генерация SBOM через cdxgen для C/C++
- П05. Trivy как генератор и сканер
- П06. Grype поверх готового SBOM
- П07. OSV-Scanner и lockfiles
- П08. Dependency-Track как портфель SBOM
- П09. VDR и VEX: различие факта и решения
- П10. БДУ ФСТЭК как национальный источник
- П11. ScanCode для лицензий
- П12. ORT и license policy
- П13. FOSSology как юридический workflow
- П14. Подпись SBOM через Sigstore
- П15. SLSA и in-toto provenance
- П16. GitLab CI security gate
- П17. OSA controlled repository policy
- П18. OSA Proxy режимы и ограничения
- П19. C/C++ make build inventory
- П20. CMake dependency graph
- П21. Conan graph и package identity
- П22. ELF dynamic dependencies
- П23. Статическая линковка как слепая зона
- П24. PURL нормализация и private qualifiers
- П25. CPE alias worklist
- П26. Лицензионная классификация
- П27. Юридическое заключение и реестр лицензий
- П28. Поставка от нескольких исполнителей
- П29. Readiness dashboard
- П30. Исключения и принятие риска
- П31. Пилот CodeScoring: make CMake qmake
- П32. CodeScoring offline architecture
- П33. AppSec и CodeScoring: сравнение по задаче
- П34. SBOM quality gate
- П35. VEX triage
- П36. Итоговый мини-проект
- П37. Контейнерный образ: слои, секреты, удалённые файлы
- П38. Честный SBOM контейнерного образа
- П39. SBOM for AI: minimum elements
- П40. Огнестойкость РБПО и SCA-процесс
Опора для VDR/VEX-практик
- VEX в процессе РБПО — читать перед П09 и П35, чтобы не путать finding/VDR с VEX-решением производителя.
Если dataview выключен Полный статический перечень всех практик доступен в Главная карта (раздел «Практикум»).