Финансы и финтех
- Банки и платёжные сервисы с требованиями к безопасности приложений.
Анализ защищённости приложений: SAST, DAST, DevSecOps
SAST, DAST, DevSecOps. Проводим статический и динамический анализ, ручной пентест и встраиваем проверки в CI/CD.
Для кого
Анализ защищённости приложений необходим командам, разрабатывающим или эксплуатирующим ПО.
Госсектор
- Разработчики ГИС и государственных сервисов с требованием сертифицированных средств анализа.
ИТ-компании
- Продуктовые команды, встраивающие безопасность в процессы разработки.
Промышленность
- Предприятия с собственными АСУ ТП-приложениями и веб-интерфейсами управления.
Ритейл и e-commerce
- Платформы с обработкой платёжных данных и персональных данных пользователей.
Мобильная разработка
- Команды, выпускающие мобильные приложения с обработкой платежей или персональных данных.
Типовые задачи
Задачи, которые мы решаем в области безопасности приложений.
Выявление уязвимостей в коде (SAST)
Анализируем исходный код или бинарные артефакты для поиска уязвимостей без запуска приложения.
Тестирование запущенного приложения (DAST)
Сканируем работающее приложение и API для обнаружения уязвимостей, эксплуатируемых извне.
Встраивание AppSec в CI/CD
Интегрируем инструменты SAST/DAST в пайплайн разработки для автоматической проверки каждого коммита.
Threat modeling новых функций
Проводим моделирование угроз перед разработкой критичных функций для защиты на этапе проектирования.
Форматы работы
Форматы работы зависят от зрелости разработки и цели анализа.
Разовый анализ защищённости
SAST и/или DAST конкретного приложения с итоговым отчётом и рекомендациями по устранению.
Ручной пентест приложения
Углублённое ручное тестирование по методологии OWASP с проверкой бизнес-логики и авторизации.
DevSecOps-внедрение
Встраиваем AppSec-инструменты в CI/CD, настраиваем пороги качества и обучаем разработчиков.
Программа AppSec
Построение зрелого процесса безопасной разработки: обучение, инструменты, метрики.
Почему нам
Почему выбирают нас для тестирования безопасности приложений.
Ручной и автоматизированный анализ
Сочетаем инструментальный анализ с ручным пентестом — находим то, что автоматика пропускает.
Сертифицированные инструменты
Используем средства анализа кода, включённые в реестр ФСТЭК для выполнения регуляторных требований.
Опыт в DevSecOps
Встраивали AppSec в CI/CD на базе международных и отечественных платформ разработки.
Понятные отчёты для разработчиков
Формируем отчёты с воспроизводимыми PoC и конкретными рекомендациями по коду.
Обсудить задачу
Расскажите о приложении — оценим объём работ и формат анализа.
Как работаем
Что получите
Что организация получает по итогам анализа защищённости.
Реестр уязвимостей приложения
Полный перечень найденных уязвимостей с классификацией по CVSS, CWE и OWASP.
Воспроизводимые PoC
Для критичных уязвимостей — пошаговое воспроизведение с запросами и ответами.
Рекомендации по коду
Конкретные инструкции по устранению для разработчиков с примерами безопасного кода.
Ретест после устранения
Повторная проверка устранённых уязвимостей для подтверждения корректности исправлений.
Наши преимущества
-
SAST + DAST + ручной пентест. Сочетание методов обеспечивает максимальное покрытие — автоматика и ручной анализ дополняют друг друга.
-
Сертифицированные инструменты. Применяем SAST-инструменты, сертифицированные или включённые в реестр ФСТЭК.
-
Понятные отчёты. Документируем уязвимости так, чтобы разработчик мог воспроизвести и исправить их без дополнительных вопросов.
-
Встройка в CI/CD. Настраиваем автоматические проверки в пайплайне так, чтобы уязвимости выявлялись на этапе pull request.
-
Поддержка SDL. Помогаем построить процесс безопасной разработки: обучение, моделирование угроз, code review.
Проблемы и решения
Проблема
Решение
С последнего аудита вышло много релизов
Текущее состояние безопасности приложения неизвестно.
Что делаем
Внедряем SAST/DAST в CI/CD для автоматической проверки каждого релиза без ручного запуска аудита.
SAST генерирует много ложных срабатываний
Разработчики игнорируют результаты сканирования.
Что делаем
Верифицируем и приоритизируем результаты вручную, передавая только реально эксплуатируемые уязвимости.
Регулятор требует сертифицированные средства
Нужно подтверждение анализа защищённости определённым инструментарием.
Что делаем
Проводим анализ с применением SAST-инструментов из реестра ФСТЭК и оформляем документацию.
Мобильное приложение не проверялось на безопасность
Нет данных о защищённости хранения данных и клиентского API.
Что делаем
Проводим анализ мобильного приложения: хранение данных, защита API, устойчивость к реверс-инжинирингу.
Этапы работы
Процесс анализа защищённости приложения от scoping до ретеста.
Рассчитать проект
Оставьте заявку — обсудим состав приложения и подберём методологию анализа.
Вопросы и ответы
В чём разница между SAST и DAST?
SAST проверяет исходный код без запуска приложения. DAST тестирует работающее приложение, имитируя действия злоумышленника извне. Оба метода дополняют друг друга.
Нужен ли доступ к исходному коду для анализа?
Для SAST — да. DAST и ручной пентест возможны без исходного кода. Наиболее полное покрытие обеспечивает подход с доступом к коду.
Как часто нужно проводить анализ защищённости приложений?
Регуляторы рекомендуют анализ при каждом значимом изменении и не реже одного раза в год. Внедрение SAST в CI/CD позволяет проверять безопасность при каждом релизе.
Что такое DevSecOps и зачем он нужен?
DevSecOps — встраивание практик безопасности в процесс разработки: автоматические проверки в CI/CD, обучение разработчиков, моделирование угроз и code review. Это позволяет выявлять уязвимости на ранних стадиях, когда исправление дешевле.
Мария Гурькова Ведущий специалист технической поддержки