Вышел Solar appScreener с корреляцией результатов SAST и DAST

Вышел Solar appScreener с корреляцией результатов SAST и DAST

Вышел Solar appScreener с корреляцией результатов SAST и DAST

Компания «РТК-Солар» представила обновление Solar appScreener, комплексного решения для контроля безопасности программного обеспечения и информационных систем. В новой версии появилась возможность корреляции результатов статического анализа кода (SAST) с результатами динамического сканирования (DAST).

Корреляция результатов статического и динамического анализа позволит снизить количество ложных срабатываний. Благодаря этому внимание пользователей будет сконцентрировано в первую очередь на тех уязвимостях и НДВ, которые подтверждены, и устранение которых является задачей первого приоритета.

В версии Solar appScreener 3.12 в дополнение к статическому анализу кода (SAST) реализована возможность провести динамическое сканирование (DAST) приложения. При динамическом анализе происходит выявление уязвимостей через эмуляцию внешних атак. По ответу от приложения система делает вывод, есть ли в нем уязвимости. При статическом анализе не происходит выполнения программы, а анализируется весь ее код. Преимуществом метода является покрытие большего количества уязвимостей.

Для проверки приложения в Solar appScreener 3.12 достаточно указать URL приложения и запустить сканирование. По результатам корреляции результатов двух методов анализа пользователь Solar appScreener 3.12 предоставляет единый отчет. В нем отражены уязвимости и НДВ, обнаруженные с помощью статического анализа кода, и отдельно выделены те из них, которые были подтверждены динамическим тестированием приложения. Отчет, как и прежде, содержит подробные рекомендации по устранению выявленных ошибок и повышению безопасности тестируемого ПО.

Даниил Чернов, директор центра Solar appScreener компании «РТК-Солар»: «Ранее специалисты по безопасности ПО вынуждены вручную сопоставлять результаты сканирования, проведенные с помощью отдельных SAST и DAST-решений. Разработав алгоритмы корреляции результатов двух методов анализа, нам удалось снизить количество ложных срабатываний и достичь более точных результатов поиска уязвимостей и НДВ. Это позволит значительно сократить время обработки результатов анализа уязвимостей, полученных из двух различных инструментов SAST и DAST, благодаря чему — снизить нагрузку на специалистов, отвечающих за безопасность приложений и информационных систем. В будущем мы планируем развивать модуль корреляции, добавляя другие технологии, что позволит еще более эффективно выявлять уязвимости в ПО».

В новой версии Solar appScreener внесен целый ряд изменений для повышения удобства пользователей при работе с анализатором. В частности, в интерфейсе теперь отображается процесс загрузки файлов на анализ, что позволит избежать ошибок при загрузке больших проектов. Кроме того, улучшена работа с группами уязвимостей, благодаря чему пользователь может выбрать любые уязвимости в списке и изменить статус/критичность или оставить комментарий для всей группы. Дополнительно была оптимизирована работа с приватными репозиториями благодаря интеграции при помощи авторотационных токенов и SSH-ключей из интерфейса SolarappScreener.

В обновлении изменилась логика работы с шаблонами экспорта отчета. В системе появилась возможность создать глобальный шаблон, не привязанный к определенному проекту. Начиная с Solar appScreener 3.12 пользователи смогут запускать сканирование по расписанию и настраивать автоматическую отправку отчетов, указав адреса конкретных получателей.

Сегодня Solar appScreener поддерживает 36 языков программирования и 9 форматов исполняемых файлов и является мировым лидером по этому показателю. В новой версии решения были добавлены новые паттерны поиска уязвимостей для поддерживаемых языков программирования, расширена база правил для Android, улучшен taint-анализ для Python и поддержка проектов на Java 17. Кроме этого, добавлена возможность сканирования только по исходному коду приложения на Java и появилась поддержка фреймворка Symphony языка PHP.

 

На днях Anti-Malware.ru поговорил с Даниилом Черновым о новой версии Solar appScreener, ставшей самым ожидаемым релизом, невероятном скачке российского рынка, собственном патентованном ядре Fuzzy Logic Engine и корреляции данных анализа SAST и DAST.

Подпишитесь на новости

62% компаний переходят на российские СУБД из-за регулятора

На эфире AM Live «Российские СУБД» обсудили российский рынок СУБД: насколько решения зрелые, как выбирать базу под задачи и что мешает миграции. Говорили о росте рынка до 101 млрд рублей и прогнозе до 281 млрд к 2032 году, фрагментации сегментов, гибридных и специализированных СУБД. 

Первый опрос показал, что главный драйвер перехода — требования регулятора: так ответили 62% зрителей.

Ещё 18% выбрали вариант «просто интересно», 8% — стоимость лицензий и эксплуатации, 7% — риски информационной безопасности, 3% — новые требования бизнеса и 2% — сбои зарубежных СУБД. Константин Варов сразу обратил внимание на тревожный сигнал: «6,5% тех, кто попробовал перейти на российский СУБД, вернулись обратно… регулятор снял удавку с горла».

Руслан Галиев объяснил замедление рынка тем, что клиенты перешли от агрессивного импортозамещения к прагматичному: «Клиент сейчас вдумчиво, содержательно и системно подходит к проектам миграции». Алексей Викулин добавил, что больше половины решений до сих пор остаются на импортном стеке, особенно в критичной инфраструктуре.

По степени важности при выборе СУБД на первом месте оказалась стоимость лицензии и эксплуатации — 83%. Простота внедрения и миграции набрала 76%, совместимость с приложением — 68%, производительность и масштабируемость — 62%, отказоустойчивость — 61%. Функциональность и надёжность разработчика оказались ниже — 49% и 48%. Константин Варов назвал картину ожидаемой:

«Слышим, реагируем» — вендор снижает стоимость и упрощает миграцию. Александр Ложков рассказал, что для ускорения работы с 1С и банковскими системами используются готовые профили оптимизации: «Поставил такой пакет в связке с приложением, получил ускорение работы иногда в разы». Алексей Викулин напомнил, что важна не только цена лицензии, но и совокупная стоимость владения: бесплатное решение может оказаться дороже в эксплуатации.

Участники обсудили основные трудности внедрения. Сложность и стоимость миграции отметили 37% респондентов, недостаток специалистов и компетенций — 34%. Проблемы с производительностью и отказоустойчивостью выбрали 11%, сложность выбора — 8%, недостаточную зрелость — 7%, недостаточную совместимость с приложениями — 3%. Константин Варов подтвердил, что это два ключевых стоп-фактора, и рассказал про CDC-инструмент: «Само переключение… занимает буквально несколько часов». Алексей Викулин объяснил причину: «У отечественных СУБД гораздо выше порог входа. Требования к квалификации администратора выше, чем на Oracle или MS SQL». Игорь Турканов привёл пример: «Мы перевели высоконагруженную систему с Oracle за 3,5 месяца».

В целом участники эфира сошлись: рынок российских СУБД вырос, но главные задачи — снизить стоимость и сложность миграции, закрыть дефицит специалистов и упростить администрирование. ИИ, по мнению спикеров, станет одним из главных факторов, который будет менять требования к базам данных в ближайшие годы.

RSS: Новости на портале Anti-Malware.ru