Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

CISA KEV

Для чего

CISA KEV (Known Exploited Vulnerabilities Catalog) — это список уязвимостей, для которых подтверждена эксплуатация в реальных атаках. В отличие от EPSS (вероятность) и CVSS (потенциальный ущерб), запись в KEV — это факт: уязвимость уже используется. Поэтому наличие CVE в KEV — сильнейший сигнал «чинить в первую очередь», а для ряда организаций — формальное основание к срочному устранению в заданный срок.

Как применяют

Каталог публикуется целиком одним JSON/CSV-файлом и обновляется по мере добавления новых записей. Загрузка и фильтрация:

curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json \
  | jq '.vulnerabilities[] | select(.cveID=="CVE-2021-44228") | {cveID, vendorProject, dueDate, knownRansomwareCampaignUse}'

Фрагмент записи KEV:

{ "cveID": "CVE-2021-44228", "vendorProject": "Apache", "product": "Log4j2",
  "dateAdded": "2021-12-10", "dueDate": "2021-12-24",
  "knownRansomwareCampaignUse": "Known" }

В пайплайне KEV используют как жёсткий приоритет: при триаже VDR любую находку, чей CVE есть в каталоге, помечают как критическую независимо от CVSS/EPSS; это типичное правило gate — «блокировать сборку, если в SBOM есть компонент с CVE из KEV».

Сильные стороны

Не вероятность, а подтверждённый факт эксплуатации — однозначный сигнал для эскалации.
Поле knownRansomwareCampaignUse и dueDate дают готовую бизнес-приоритизацию.
Один компактный файл (JSON/CSV) — тривиально зеркалировать и джойнить с CVE из VDR.
Курируется вручную, низкий уровень шума — почти нет ложных «горящих» записей.

Ограничения

Каталог намеренно узкий: отсутствие CVE в KEV не означает безопасность — большинство эксплуатируемых уязвимостей в него не попадает.
Сильное смещение в сторону массово используемого западного ПО; нишевые OSS-компоненты представлены слабо.
Это перечень CVE, а не сопоставление с версиями компонентов — матчинг по PURL/CPE остаётся на стороне сканера.
Источник ориентирован на юрисдикцию США; для требований РФ-регулятора дополняется БДУ ФСТЭК.

Offline / on-premise

Частично/да. Весь каталог — это единственный файл (known_exploited_vulnerabilities.json или .csv), который легко скачать на «чистой» машине и перенести в закрытый контур, затем обновлять по регламенту. Никакого онлайн-сервиса для использования не требуется — джойн с CVE выполняется локально по фиксированному снимку.

Связанные темы

М06. Поиск уязвимостей и управление VDR/VEX · М14. Политики, исключения и принятие риска

Смежные карточки: EPSS · CVE · NVD · OSV.dev · БДУ ФСТЭК

Практики: П35. VEX triage · П09. VDR и VEX различие факта и решения · П30. Исключения и принятие риска · П16. GitLab CI security gate