Платформа поддерживает все основные языки программирования: C, С++, C#, Java, JavaScrip, Python и другие. Случаи использования редких языков мы рассматриваем индивидуально: если технически выполнение анализа возможно, то мы возьмёмся и за это.

В практике DevSecOps ограничения бывают двух типов: технические и человеческие. Технические подразумевают неспособность сканеров автоматизировано проверять ряд редких языков — в отрасли просто не существует необходимых инструментов. В таком случае мы не сможем выполнить свои обязательства в части статистического анализа. Однако композиционный и динамический анализ, фаззинг-тестирование во многих случаях возможно провести даже для ПО, написанного с помощью непопулярных языков. Человеческий фактор предполагает наличие или отсутствие компетенций по ряду технологий разработки, однако команда Apsafe обладает всеми необходимыми навыками и постоянно повышает свои компетенции.

В своей работе мы используем композиционный анализ. Если у нас есть информация о том, какие библиотеки вы используете, мы поможем в реальном времени отслеживать появление новых CVE в них.

5 дней в случае, если вы подключили и статический, и композиционный, и динамический анализ. Если вы подключили меньше опций, то и проверка займет меньше времени.

Код передаётся по шифрованному каналу с использованием протокола HTTPS по классической push-pull модели: когда код попадает на определённый этап разработки, он отправляется в Apsafe. В ядре платформы используется Gitlab, куда уже интегрированы различные инструменты защиты. В данный момент мы не используем ГОСТ VPN, но в перспективе готовы их применять.

Да, такая возможность есть, и она реализуется по запросу. Мы готовы перенести все необходимые составляющие и интеграции для внутренней обвязки и доработки ряда OpenSource-инструментов, которые являются основной ценностью. Эту задачу можно выполнить On-premise в вашем ЦОД. Единственное ограничение, с которым сталкивается пользователь — все Enterprise-инструменты будет необходимо закупить.

На данный момент основные метрики — метрики качества приложения: сколько уязвимостей было выявлено в целом и сколько уязвимостей выявляется в рамках релиза. По этой метрике можно отследить, улучшается ли качество разработки, сколько уязвимостей сейчас находится в работе у разработчика ПО и как быстро эти уязвимости устраняются.

По запросу мы готовы взаимодействовать и с ИБ, и с IT, и с командами разработки. Также мы помогаем с настройкой WAF и SOC.

Это возможные варианты. На практике возможны случаи, когда некоторые правила сканеров работают некорректно применительно к конкретному проекту, тогда мы их исправляем или отключаем по договоренности с пользователем.

Разработку правил осуществляет наша команда в рамках своих обязательств. Если пользователь хочет получить какое-то определенное правило, мы всегда готовы обсуждать его внесение в общую политику.

На данный момент такой возможности нет. Для интеграции контура разработки ПО и платформы используется специальный скрипт. Дополнительно для пользователей Apsafe реализован механизм контроля обнаруженных проблем безопасности в личном кабинете, там же возможно следить за основными метриками качества ПО.

В случае успешной атаки мы готовы провести необходимые работы по разбору инцидента и подготовить заключение, почему уязвимость, которой воспользовались хакеры, не была найдена.

Основная функция — оркестрация. ASOC также выполняет агрегацию (собирает все события), упрощённую корреляцию. В рамках Apsafe планируется расширять возможности этого инструмента.