«Солар» и AppSec Solutions объединили контроль цепочки поставок ПО и управление уязвимостями
ГК «Солар», ведущий провайдер комплексной кибербезопасности в России, и компания AppSec Solutions, разработчик решений в области безопасной разработки и защиты ИИ, объявили о технологическом партнерстве. В едином контуре объединились платформа для безопасной разработки Hexway ASOC (входит в ГК «Солар») и AppSec.Track – решение класса OSA/SCA для контроля состава и происхождения программных компонентов, включая ИИ-артефакты. Интеграция позволяет выстроить единый процесс — от проверки компонентов до централизованной обработки, приоритизации и устранения выявленных уязвимостей.
Особое внимание в таком процессе требуется уделять компонентам, которые разработчики выбирают с помощью ИИ-ассистентов. Языковая модель может предложить разработчику название несуществующего пакета. Если такой пакет впоследствии появляется в публичном репозитории, этот сценарий может использоваться для распространения вредоносного компонента. В результате зависимость попадает в кодовую базу не в рамках осознанного выбора и проверки, а вслед за рекомендацией ИИ-ассистента.
При использовании нескольких инструментов результаты анализа оказываются распределены между разными системами, что усложняет их сопоставление, приоритизацию и дальнейшую обработку. Интеграция Hexway ASOC и AppSec.Track объединяет два этапа работы с рисками: проверку компонентов до их попадания во внутренний репозиторий и централизованную обработку результатов анализа.
AppSec.Track отвечает за контур цепочки поставок ПО. На уровне политик OSA решение проверяет компоненты до их попадания во внутренний репозиторий, на каждой сборке контролирует фактический состав приложения и формирует SBOM, а также распространяет этот контроль на AI/ML-решения — сами модели и их open-source-окружение.
Hexway ASOC принимает эти данные в общий контур вместе с результатами других анализаторов. Платформа устраняет дубликаты, приоритизирует уязвимости и с помощью ML-компонента VampyBro отсеивает ложноположительные срабатывания, экономя ресурсы AppSec- и DevSecOps-команд.
В результате часть рисков выявляется и предотвращается еще до того, как компонент попадет в кодовую базу. Результаты анализа поступают в единый процесс обработки, где их можно приоритизировать, получать прозрачную картину рисков по продуктам и распределять задачи между командами.
Платформа Hexway ASOC уже интегрирована с инструментами безопасной разработки: Solar appScreener, Luntry, PVS-Studio, GitFlic, SASTAV и другими. Расширяя возможности технологического партнерства Hexway ASOC с решениями других российских вендоров, «Солар» учитывает задачи клиентов и позволяет встраивать платформу в уже используемый технологический стек.
AppSec.Track — платформа для предотвращения атак на цепочку поставок ПО. Контролирует цепочку поставок на трех уровнях: политиками OSA не пропускает опасные и недоверенные компоненты во внутренний контур, на каждой сборке проверяет состав приложения и формирует SBOM, защищает AI/ML-решения — сами модели и их open-source-окружение. Первый российский SCA-анализатор, способный работать напрямую с ИИ-ассистентами: через MCP-сервер ИИ-инструмент разработчика обращается к AppSec.Track и проверяет компоненты в момент генерации кода, а не постфактум, при этом срабатывают заданные в системе политики безопасности. Инструмент ориентирован на профессиональные команды разработки, внедряющие ИИ-ассистентов в свои процессы, и позволяет соблюдать требования безопасности (Secure by Design) даже при использовании генеративного кода. Включен в Единый реестр российских программ для ЭВМ и баз данных (реестровая запись № 20552 от 14.12.2023).
Hexway ASOC — российская ASOC/ASPM-платформа для DevSecOps, которая объединяет результаты любых сканеров (SAST, DAST, SCA) и содержит встроенные инструменты для поиска уязвимостей. Она автоматически приоритизирует уязвимости и формирует управляемый процесс их исправления; это первый на рынке продукт класса ASOC/ASPM с интеграцией как публичных, так и локальных LLM для интеллектуальных рекомендаций по исправлению кода прямо в интерфейсе. Платформа имеет ML-компонент VampyBro для автоматизации триажа и снижения нагрузки на команды безопасности. Включена в Реестр отечественного ПО (№ 27364).
Источник: ГК «Солар»
