Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
OSA Proxy и поддержанные экосистемы
О чём
Предмет проверки — покрытие OSA Proxy (Firewall) по пакетным менеджерам: для каких экосистем работает именно перехват запросов, проксирование, анализ и блокировка на лету, а где это покрывается только плагинами repository manager (Nexus/JFrog) или режимом CLI/агента. ТЗ смешивает эти режимы, поэтому ключевой риск — потребовать от Proxy того, что подтверждено лишь для plugin/agent.
Что подтверждено
- Документация OSA Proxy явно подтверждает Firewall-перехват для: Maven, NPM, PyPI, NuGet (V3), Go, Debian, Alpine/APK, RPM и Docker Registry.
- OSA-механизм блокирует небезопасные пакеты по политике при попытке загрузки в контур разработки — для поддерживаемых режимов.
- Для Nexus / JFrog Artifactory доступны плагины repository manager, которые покрывают часть сценариев репозиториев, включая дополнительные типы (Conan/Conda/RubyGems) — но через плагин, а не через универсальный Proxy Firewall.
- Источники уязвимостей (NVD, GitHub Security Advisory, OSS Index, OSV, БДУ ФСТЭК), экспорт CSV и классификация уязвимостей подтверждены.
Три разных режима — не путать OSA Proxy (Firewall) — перехват трафика пакетного менеджера. Nexus/JFrog plugin — контроль внутри repository manager. CLI/agent — сканирование без artifact repository. Один и тот же пакетный менеджер может быть закрыт одним режимом и не закрыт другим.
Что не подтверждено или ограничено
- ТЗ (п. 3.4) требует Firewall, в том числе для Conan, Conda, Ruby Gems. Публичная документация OSA Proxy не подтверждает эти три экосистемы в proxy-firewall режиме — они доступны лишь через плагины Nexus/JFrog, если такой repository manager используется.
- Работа с нестандартными/специфическими хранилищами и без хранилищ заявлена, но требует проверки по фактической архитектуре контура Организации.
- Отложенная блокировка на заданный интервал (требование п. 3.4) — прямого подтверждения функции в материалах не найдено.
Риск несоответствия Если ТЗ требует именно Proxy Firewall для Conan, Conda и Ruby Gems (без опоры на Nexus/JFrog), это не подтверждено и квалифицируется как риск несоответствия. Развилка: либо в контуре есть Nexus/JFrog и эти экосистемы закрываются плагином, либо требование к Proxy надо переформулировать.
Что проверить на пилоте
Вопросы и приёмочные проверки - Для каких экосистем работает именно Proxy Firewall, а для каких только плагин Nexus/JFrog? Получить актуальный перечень письменно. - Есть ли в контуре Организации Nexus или JFrog? Если да — Conan/Conda/RubyGems закрываются плагином; если нет — чем? - Проверить блокировку в фактическом режиме: отдельно Maven, NPM, NuGet, PyPI, Go, APT/RPM, Conan, Conda, RubyGems. - Подтвердить или опровергнуть отложенную блокировку на заданный интервал — демонстрация в UI. - Проверить сценарий без artifact repository (CLI/agent) для экосистем, не закрытых Proxy.
Связь
- Матрица соответствия требованиям OSA SCA — разрыв № 2 (OSA Firewall по всем пакетным менеджерам) и строки OSA про перехват и Firewall-список.
- Offline и on-premise архитектура — где разворачивается Proxy и как обновляется база в offline.
- Приемочные сценарии пилота · Вопросы для пилота CodeScoring
- Документация: https://docs.codescoring.ru/user-guide/osa-proxy/