Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
MITRE ATT&CK
О документе
Открытая база знаний о тактиках и техниках реальных атакующих, которую ведёт MITRE (США). ATT&CK структурирует поведение противника: тактики (зачем — Initial Access, Execution, Persistence, …) и техники (как — с идентификаторами вида T1195 «Supply Chain Compromise», T1059 «Command and Scripting Interpreter»). Это не требование и не контроль, а модель угроз: для SCA/OSA она задаёт язык, на котором описывается, как компрометация цепочки поставки происходит на практике, чтобы обоснованно выбирать защитные меры. Особенно важна техника T1195 с подтехниками (компрометация зависимостей ПО, инструментов разработки, обновлений).
Ключевые требования
- Не нормативный мандат, а каталог поведения: ATT&CK не предписывает контроли — она описывает техники, против которых эти контроли строятся.
- Supply Chain Compromise (T1195) и подтехники (T1195.001 — компрометация средств разработки и сборки, T1195.002 — компрометация зависимостей и инструментов) — прямой объект интереса OSA.
- Тактика → техника → процедура: угроза описывается на трёх уровнях, что позволяет строить покрытие защитными мерами адресно.
- Связь с детектированием и митигацией: каждая техника сопровождается рекомендациями по обнаружению и снижению риска.
- Применение в threat modeling: ATT&CK — основа для модели угроз процесса разработки и поставки, а не для оценки конкретного компонента.
Что считать evidence
- Модель угроз цепочки поставки, в которой релевантные техники (минимум T1195 и подтехники) сопоставлены с защитными мерами OSA.
- Матрица покрытия «техника → контроль»: для каждой выбранной техники указано, чем она закрывается (controlled repository, подпись, провенанс, proxy-политика) и где разрыв.
- Provenance/подпись артефактов (SLSA, in-toto, Sigstore) как мера против T1195.001/.002 — с привязкой к технике в модели угроз.
- Политика controlled repository и proxy с обоснованием через ATT&CK (какие техники она блокирует: подмену зависимости, typosquatting, компрометацию зеркала).
- Журнал упражнений по моделированию угроз / результаты red team, размеченные по технике.
Маппинг на практики и шаблоны
- П15. SLSA и in-toto provenance, П14. Подпись SBOM через Sigstore — контроли против Supply Chain Compromise.
- П17. OSA controlled repository policy, П18. OSA Proxy режимы и ограничения — защита канала получения компонентов.
- Требования к controlled repository, Политика приемки сторонних компонентов — формализация мер против T1195.
- Модули: Модуль М08 (защита цепочки поставки и OSA), Модуль М13 (трассировка и evidence).
Ограничение
Это учебная карточка, а не официальный текст. ATT&CK регулярно обновляется (новые техники, переименования, версии матриц) — актуальные идентификаторы и описания техник сверяйте с базой знаний MITRE ATT&CK.