Positive Technologies поставил испытательной лаборатории ФСТЭК анализатор исходного кода

Positive Technologies поставил ФСТЭК анализатор исходного кода

Positive Technologies поставил ФСТЭК анализатор исходного кода

Испытательная лаборатория Института инженерной физики, аккредитованная в системах сертификации ФСТЭК, ФСБ и Минобороны России, объявила о внедрении системы анализа исходного кода PT Application Inspector в свою инфраструктуру для тестирования и сертификации средств защиты информации.

Продукт компании Positive Technologies поможет одной из крупнейших российских лабораторий автоматизировать процесс выявления уязвимостей при контроле недекларированных возможностей (НДВ) — в соответствии с новыми требованиями и рекомендациями ФСТЭК.

Согласно последним нормативам ФСТЭК, при сертификации защитного ПО испытательным лабораториям необходимо не только контролировать отсутствие НДВ (функциональных возможности средств вычислительной техники, не описанных или не соответствующих описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации), но и осуществлять поиск уязвимостей — недостатков защищенности, вызванных ошибками проектирования и разработки.

Олег Матыков, руководитель отдела проектных решений Positive Technologies:

«Требование о поиске уязвимостей отражает более современный, практический взгляд на безопасность. Классическое представление о "недокументированных возможностях" связано с изучением функций продукта и проверкой их на соответствие заявленным в документации. Но даже если приложение работает правильно с точки зрения функциональности и не содержит "закладок", это не гарантирует его защищенности в реальной ситуации. Изначально не замеченные ошибки кода и конфигурации, слабые механизмы аутентификации и другие внутренние недостатки системы могут приводить к сбоям, утечкам, нарушению целостности и доступности. А с развитием целенаправленных атак даже небольшая уязвимость может стать частью многоступенчатой схемы промышленного шпионажа или саботажа. Именно поэтому ФСТЭК указывает на необходимость поиска всех возможных уязвимостей, а не только НДВ».

В настоящее время ФСТЭК рекомендует лабораториям проводить анализ уязвимостей даже на низких уровнях контроля (НДВ 4), а в сертификации программного обеспечения по второму уровню НДВ данная процедура является обязательной. При этом на всех уровнях контроля НДВ регулятор предписывает применение, в том числе, сигнатурного анализа кода.

«Сигнатурный анализ является одним из важнейших этапов сертификации, так как именно с ним связано большинство случаев выявления НДВ, — продолжает Олег Матыков. — Но большинство анализаторов кода, используемых при сертификации, проводят такой анализ самым простым методом поиска по шаблону (pattern matching), что вкупе с астрономическим количеством ложных срабатываний сильно снижает практическую ценность этой процедуры. В системе анализа исходного кода PT Application Inspector применяется комбинация методов DAST, SAST и IAST, что позволяет радикально уменьшить количество ложных срабатываний и разглядеть опасные уязвимости».

В 2015 году исследователи обнаружили немало уязвимостей в распространенных средствах защиты информации. Так, команда экспертов по безопасности Google в июне опубликовала отчет о серьезной уязвимости в антивирусе ESET NOD32, а в сентябре обнародовала информацию о 8 уязвимостях в «Антивирусе Касперского», которые позволяли удаленное выполнение кода. Кроме того, в сентябре специалисты немецкой ERNW опубликовали отчет о пяти уязвимостях, найденных в продукте Malware Protection System компании FireEye. Одна из этих уязвимостей позволяла злоумышленникам получить доступ к системе, на которой MPS была установлена.

Михаил Федоров, старший консультант PositiveTechnologies:

«Большинство уязвимых мест являются следствием ошибок, которые непреднамеренно возникают при проектировании и разработке программного обеспечения. И если ошибки безопасности начнут искать не только на этапах сертификации, интеграции, обновления, но и при разработке, проще станет и органам аттестации, и производителям, и пользователям. Система PTApplicationInspectorстала одним из первых российских средств для практического внедрения SDLC — и пока по своим возможностям не имеет альтернатив, хотя я надеюсь, что важность данной области ИБ вскоре осознают все отраслевые игроки. Во всяком случае, это понимают во ФСТЭК, где подготовили современный национальный стандарт по безопасной разработке ПО для средств защиты информации: в нем есть и code review, и vulnerability assessment, причем Виталий Лютиков на недавней выставке InfoSecurity Russia 2015 назвал отсутствие процедур безопасной разработки российских СЗИ одной из пяти главных проблем в сфере информационной безопасности».

В системе PT Application Inspector удалось скомбинировать статический анализ с частичным и полным выполнением программ, благодаря использованию символических вычислений и интерактивной трассировки части приложения в виртуальной «песочнице». Это позволяет обрабатывать динамические зависимости, раскрывать функции и классы, специфичные для библиотек и фреймворков, — и в целом моделировать прохождение потока данных через логическую схему приложения. Использование такого подхода дает возможность анализа как частичного исходного кода, так и полностью собранного и развернутого приложения, а также обеспечивает снижение числа ложных срабатываний за счет учета «контекста» и широкое покрытие кода приложения.

Владимир Потапов, начальник группы анализа недекларированных возможностей Института инженерной физики:

«Специалисты нашей лаборатории искали отечественный инструмент для обнаружения уязвимостей в исходном коде, но с принципиально новыми технологиями, которые, в отличие от простого поиска по шаблонам, позволяют вычислять уязвимости, уникальные для сертифицируемого средства защиты. Именно таким инструментом оказался продукт компании Positive Technologies — Application Inspector, предназначенный для анализа безопасности исходного кода приложений путем использования комбинации методов статического, динамического и интерактивного анализа. Особенностью PT AI, которая выделяет его среди всех известных инструментов этого класса, является генерация скриптов для подтверждения наличия обнаруженных уязвимостей (эксплойтов). Стоит отметить и полноценную возможность анализа основных популярных языков программирования, используемых для создания современных веб-приложений. Уровень точности обнаружения уязвимостей с использованием PT AI позволил нашему институту вывести контроль НДВ при испытательных работах по сертификации средств защиты на новый качественный уровень».

Закупки VPN госзаказчиками выросли в штуках, но упали в деньгах

Общее количество завершённых закупок виртуальных частных сетей (VPN), по данным «Контур.Эгиды» и Staffcop, в 2025 году выросло на 18,5% в количественном выражении — с 8,7 тыс. до 10,3 тыс. процедур. При этом совокупный объём рынка за тот же период сократился на 25,9% — с 32,97 млрд до 24,43 млрд рублей.

Ключевой причиной столь разнонаправленной динамики аналитики называют заметное снижение средней стоимости контрактов. По итогам 2025 года она уменьшилась на 38% и составила 2,44 млн рублей против 3,92 млн рублей годом ранее.

Одновременно усилилось и снижение цен со стороны поставщиков: с 14,7% в 2024 году до 18,4% в 2025 году.

Наиболее ёмким сегментом рынка VPN остаются закупки по 44-ФЗ. В 2025 году в этом сегменте было проведено 4,3 тыс. процедур на сумму 19,87 млрд рублей. Для сравнения, годом ранее объём закупок по 44-ФЗ составлял 29,18 млрд рублей при 4,1 тыс. процедур. Основным фактором снижения в денежном выражении стало падение средней стоимости контракта почти на треть — с 7,1 млн до 4,62 млн рублей.

Закупки по 223-ФЗ, напротив, продемонстрировали умеренный рост, в том числе в денежном выражении. В 2025 году их объём достиг 3,28 млрд рублей против 2,48 млрд рублей годом ранее, а количество сделок увеличилось с 468 до 532. При этом уровень снижения цены за год вырос с 15,4% до 18,5%, что, по оценке аналитиков, указывает на усиление конкуренции, прежде всего в крупных контрактах.

В коммерческом сегменте в 2025 году было зафиксировано около 1,0 тыс. закупок VPN на сумму 791 млн рублей, тогда как годом ранее — 758 сделок на 965 млн рублей. В малых закупках количество процедур выросло с 3,4 тыс. до 4,5 тыс., а совокупный объём — с 345 млн до 482 млн рублей. При этом средняя стоимость сделки практически не изменилась и составила около 100 тыс. рублей.

Снижение совокупного объёма рынка VPN на фоне роста количества закупок аналитики во многом связывают с эффектом отложенного спроса. Значительная часть крупных заказчиков ранее закрыла потребности в VPN-инфраструктуре, заключив контракты сразу на несколько лет, что снизило потребность в новых крупных закупках в 2025 году.

Дополнительным фактором стало перераспределение части закупок на специализированные электронные площадки, из-за чего снизился «видимый» объём рынка в открытых сегментах 44-ФЗ и 223-ФЗ. Одновременно заказчики всё чаще прибегают к малым и упрощённым процедурам, поскольку такой формат быстрее и удобнее при типовых задачах и ограниченных бюджетах.

Ситуацию на рынке прокомментировал Юрий Драченин, заместитель руководителя продуктовой группы «Контур.Эгида» и Staffcop («СКБ Контур»):

«В сегменте присутствует большое количество производителей, включая новых и нишевых игроков, которые активно выходят к заказчикам с альтернативными решениями. В результате крупные организации, уже внедрившие комплексные и дорогостоящие VPN-платформы, сокращают объёмы новых закупок, тогда как спрос смещается в сторону малого и среднего бизнеса. Это усиливает ценовую конкуренцию и приводит к снижению средней стоимости контрактов при росте количества процедур», — отметил он.

RSS: Новости на портале Anti-Malware.ru