Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Реестр unresolved libraries

Назначение

Журнал нераспознанных компонентов: всё, что инструмент увидел, но не смог однозначно сопоставить с purl/cpe (vendored-исходники, статическая линковка, кастомные сборки C/C++, alias CPE). Делает «не распозналось» видимым и управляемым, а не молчаливо потерянным.

Когда применяется

Заполняется по результату форматных чек-листов и порядка работы с неопознанной библиотекой, который поставляет в реестр новые записи. Ведётся как живой worklist до закрытия каждой строки.

Реестр vs порядок Этот документ — таблица состояния (что не распознано и в каком статусе). Пошаговый разбор каждой записи — в Порядок работы с неопознанной библиотекой. Они ссылаются друг на друга: порядок → запись в реестре → закрытие.

Реестр

ID	Артефакт / симптом	Тип проблемы	Кандидат-`purl`	Статус	Владелец	Срок
UNR-001	`libfoo.a` без метаданных	static link	`pkg:generic/...?`	в работе	роль	дата
UNR-002	vendored `*.c` без апстрима	vendored	—	поиск апстрима	роль	дата
UNR-003	`cpe` не сопоставился	cpe alias	—	alias worklist	роль	дата

Типы проблем

static link — статически слинкованный артефакт без сборочного контекста (см. П23. Статическая линковка как слепая зона).
vendored — исходники без апстрима/менеджера пакетов.
cpe alias — компонент есть, но cpe не совпадает (см. П25. CPE alias worklist).
binary — готовый бинарник без распознаваемых координат.
format gap — компонент выпал из SBOM при генерации.

Статусы записи

Статус	Значение
новая	заведена, не разобрана
в работе	идёт идентификация
alias worklist	ждёт сопоставления `cpe`/`purl`
эскалация	запрошены данные у соисполнителя
закрыта-идентифицирована	получен `purl`, заведён паспорт
закрыта-риск принят	оставлена с принятым риском, есть срок пересмотра

Правила ведения

[ ] Каждая запись имеет владельца и срок (бессрочных «висяков» нет).
[ ] Закрытие «идентифицирована» сопровождается заведением паспорта компонента.
[ ] Закрытие «риск принят» ссылается на П30. Исключения и принятие риска.
[ ] Доля unresolved сверяется с порогом соглашения о качестве.

Связь с курсом

Модуль: М04. Идентификаторы · М09. C/C++ legacy
Практики: П24. PURL нормализация и private qualifiers · П25. CPE alias worklist · П23. Статическая линковка как слепая зона
Нормативка: БДУ ФСТЭК · OWASP SCVS · CISA Minimum Elements for SBOM
Связанные шаблоны: Порядок работы с неопознанной библиотекой · Паспорт open source библиотеки · Чек-лист качества CycloneDX