Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Журналирование и audit trail
Назначение Политика журналирования действий и вердиктов SCA/OSA: какие события писать, какие поля фиксировать, как защитить журнал от подмены, куда выгружать и кто его проверяет. Делает каждый вердикт «сервиса аудита/вердиктов» восстановимым по принципу кто/когда/что/на основании чего.
Когда применяется
Постоянно во время работы процесса; настраивается при внедрении сервиса аудита; проверяется при аудите и при разборе инцидента «кто переопределил gate / изменил статус».
Правила: какие события журналируются
Обязательно к журналированию Привилегированные действия пишутся всегда, даже если завершились ошибкой.
- Запуск «генератора фактов» и завершение анализа (с версией БД уязвимостей).
- Изменение статуса findings (severity, VEX-статус).
- Выпуск, отклонение и изменение релизного вердикта.
- Override блокировки CI security gate.
- Заведение/закрытие исключения, изменение срока.
- Изменение ролей и прав доступа.
- Экспорт/выгрузка данных и журналов.
- Изменение источников фактов и интеграций.
Обязательные поля записи
| Поле | Что фиксировать |
|---|---|
| timestamp | дата-время в UTC, с TZ |
| actor | роль/учётная запись инициатора (без ФИО — роль и идентификатор) |
| action | тип события из списка выше |
| object | компонент/вердикт/исключение/правило |
| before → after | прежнее и новое значение (для изменений) |
| reason | обоснование (обязательно для override и исключений) |
| source_version | версия БД фактов/правил на момент действия |
| correlation_id | связка с релизом/сборкой/SBOM |
Защита целостности (tamper-evidence)
- Журнал append-only: правка и удаление записей запрещены на уровне прав (см. Модель ролей в сервисе аудита).
- Цепочка целостности: хеширование записей / периодическая фиксация контрольной суммы.
- Разделение обязанностей: тот, чьи действия журналируются, не администрирует журнал.
Хранение и выгрузка
- Срок хранения: не менее срока жизни релиза + 3 года (синхронно с Матрица evidence для аудита).
- Выгрузка в SIEM (Syslog/ELK) для корреляции и алертов; способ выгрузки фиксируется архитектурно.
- Алерт на критические события: override gate, массовое изменение статусов, отключение источника фактов.
Проверка журнала
- [ ] Все привилегированные действия за период имеют actor и reason.
- [ ] Нет разрывов в цепочке целостности.
- [ ] Override gate сопровождены обоснованием и сроком.
- [ ] Выгрузка в SIEM работает, алерты доходят.
- [ ] Срок хранения соблюдён, старые записи не удалены раньше срока.
Связь с курсом
- Модули: М11 Корпоративный кейс генератор фактов и сервис вердиктов, М13 Нормативная трассировка и доказательная база.
- Смежные шаблоны: Модель ролей в сервисе аудита, Матрица evidence для аудита, Требования к CI security gate.
- Нормативка: ISO IEC 27001 (логирование, мониторинг), ГОСТ Р 56939-2024.