Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

OSS Index

Для чего

OSS Index (Sonatype) — это онлайн-сервис, который по координатам компонента возвращает известные уязвимости. Запрос строится прямо на PURL: вы отправляете список pkg:...-координат и получаете для каждого список уязвимостей с CVSS и ссылками. Это источник запрос-ориентированный (по компоненту), а не дамп для локального матчинга, и он лежит в основе OWASP Dependency-Check (анализатор OSS Index) и ряда плагинов сборки.

Как применяют

Основной режим — REST API /component-report: на вход массив PURL, на выходе — отчёт по каждому. Пример запроса:

curl -s -X POST https://ossindex.sonatype.org/api/v3/component-report \
  -H 'Content-Type: application/json' \
  -d '{"coordinates":["pkg:npm/semver@7.3.7","pkg:pypi/django@3.2.0"]}' \
  | jq '.[] | {coordinates, vulnerabilities:[.vulnerabilities[].cve]}'

Для больших объёмов и CI используйте авторизацию по Sonatype Guide PAT/OSS Index token через HTTP Basic Auth; иначе возможны ограничения и 401/403.

Фрагмент ответа (координата → найденные уязвимости):

{ "coordinates": "pkg:npm/semver@7.3.7",
  "vulnerabilities": ["CVE-2022-25883"] }

В пайплайне OSS Index обычно вызывается не напрямую, а через сканер: Dependency-Check добавляет находки OSS Index к результатам матчинга по NVD, расширяя покрытие за счёт экосистемных данных Sonatype.

Сильные стороны

Запрос строго по PURL — не нужно тянуть и хранить полную базу, ответ компактный и адресный.
Покрывает множество экосистем (npm, PyPI, Maven, RubyGems, NuGet, Go, RPM/DEB и др.).
Интегрирован «из коробки» в OWASP Dependency-Check и популярные плагины сборки.
Бесплатный доступ для базовых объёмов; авторизация повышает лимиты.

Ограничения

Принципиально онлайновый сервис: без доступа к ossindex.sonatype.org источник не работает.
Лимиты частоты запросов (особенно анонимно) мешают сканировать большие портфели.
Не отдаёт полный дамп для офлайн-репликации — это API «по требованию», а не фид.
Данные курируются вендором; глубина и оперативность различаются по экосистемам, для регулятора не заменяет БДУ ФСТЭК.

Offline / on-premise

Нет. OSS Index — это размещённый онлайн-сервис без публичного полного дампа для локального зеркала: каждый запрос идёт к API Sonatype. В закрытом контуре он недоступен; вместо него используют источники с офлайн-репликацией (OSV.dev, NVD, GitHub Security Advisory) либо коммерческие on-prem-продукты Sonatype.

Связанные темы

М06. Поиск уязвимостей и управление VDR/VEX · М04. Идентификаторы компонентов и уязвимостей

Смежные карточки: OWASP Dependency-Check · Package URL · CVE · NVD · OSV.dev · GitHub Security Advisory

Практики: П24. PURL нормализация и private qualifiers · П06. Grype поверх готового SBOM