Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
OWASP Top 10 A06
О документе
Что это A06:2021 — Vulnerable and Outdated Components — категория в рейтинге OWASP Top 10:2021, самом известном перечне рисков веб-приложений. Это не стандарт с требованиями, а риск-категория: она фиксирует, что использование компонентов с известными уязвимостями и устаревших версий — массовая и недооценённая причина инцидентов. В курсе A06 — главная управленческая мотивация для SCA: она объясняет «зачем», тогда как форматы и инструменты дают «как».
OWASP описывает категорию через типовые условия возникновения (неизвестность состава ПО, отсутствие отслеживания версий, неустранённые уязвимые зависимости) и через CWE-маркеры, в первую очередь CWE-1104, CWE-937, CWE-1035.
Ключевые требования
Категория формулирует не «требования», а условия возникновения риска и меры снижения:
- Знать состав. Организация уязвима, если не знает версии всех компонентов (включая вложенные и серверные).
- Отслеживать уязвимости. Нужен непрерывный мониторинг известных уязвимостей по компонентам (CVE/advisory), а не разовая проверка.
- Своевременно обновлять. Устаревшие и неподдерживаемые версии должны выявляться и планово обновляться.
- Контролировать источники. Компоненты берутся только из доверенных источников; неподдерживаемые/неподписанные — под отдельным риском.
- Не игнорировать findings. Отсутствие процесса разбора и приёмки риска по найденным уязвимостям само по себе является проявлением A06.
Что считать evidence
Артефакты соответствия - SBOM продукта + отчёт сканера уязвимостей (сопоставление компонент → CVE) как доказательство «состав известен и проверяется». - VDR/VEX по найденным уязвимостям с указанием статуса (устранено / не эксплуатируется / принят риск). - Журнал устаревших версий и план обновления (евиденс по «своевременно обновлять»). - Записи приёмки компонентов из доверенных источников. - CI-gate, блокирующий релиз при критических неразобранных findings.
Маппинг на практики и шаблоны
- Сканирование на уязвимости: П05. Trivy как генератор и сканер, П06. Grype поверх готового SBOM, П07. OSV-Scanner и lockfiles.
- Портфельный мониторинг и непрерывность: П08. Dependency-Track как портфель SBOM.
- Процессные шаблоны: Политика управления уязвимостями компонентов, Политика приемки сторонних компонентов.
- Контекст модулей: М01. Термины, угрозы и границы и М06. Поиск уязвимостей.
Ограничение
Это учебная карточка Карточка трактует риск-категорию под задачи курса и не воспроизводит официальный текст OWASP. Точную формулировку A06, привязку к CWE и меры снижения для аудита сверять с актуальной редакцией OWASP Top 10 и регламентами Организации.