Ваш купон на скидку:
Платформа безопасности приложений «Шерлок» от Axel Pro получила интеграцию с системой управления исходным кодом и CI/CD Deckhouse Code, созданной компанией «Флант». О реализации совместного решения редакции CNews рассказал представитель Axel Pro. Доступность этой интеграции для заказчиков уже открыта.
Созданная связка инструментов призвана сократить дистанцию между написанием программного кода и его проверкой, а также автоматизировать обработку дефектов информационной безопасности. Платформа «Шерлок» объединяет в едином интерфейсе результаты SAST, SCA и Image Scan, после чего производит их нормализацию и дедупликацию. В свою очередь, Deckhouse Code отвечает за сборку релизов и хранение кода. Благодаря API-совместимости Deckhouse Code с GitLab, платформа имеет возможность обращаться к истории коммитов и файлам напрямую из репозитория.
Интеграция избавляет AppSec-инженеров от ручного переноса данных из различных сканеров в электронные таблицы и решает проблему разрозненности информации об уязвимостях. Сотрудники сферы информационной безопасности получают полный контекст происходящего: карточка дефекта содержит файл с кодом целиком, а история коммитов демонстрирует точный момент появления секрета или уязвимости в репозитории. Подобный подход повышает точность квалификации срабатываний сканеров, ускоряет разметку инцидентов и автоматизирует сведение отчётов. Кроме того, централизация информации и сквозной контроль изменений способствуют соблюдению стандартов безопасной разработки по ГОСТ Р 56939-2024 (РБПО).
Для программистов предусмотрен прямой навигатор по ошибкам, позволяющий переходить из интерфейса «Шерлока» в Web IDE Deckhouse Code к проблемному участку в один клик для исправления нужной строки. За счёт этого уменьшается объём информационного шума для разработчиков, а процесс устранения дефектов приобретает прозрачность. Следующим шагом в технологическом сотрудничестве станет внедрение механизма Security Gate для автоматической блокировки небезопасного кода. В рамках этой функции при выявлении критичных уязвимостей на стадии запроса на слияние (Merge Request) система не допустит попадание небезопасного кода в основную ветку Deckhouse Code до полного исправления дефектов.
Директор продукта «Шерлок» в компании Axel Pro Антон Гаврилов отметил, что безопасность часто воспринимается разработчиками как преграда для выпуска продуктов, поэтому целью является органичное встраивание AppSec в написание кода. По его словам, анализ изменений до их попадания в главную ветку упрощает работу специалистов по безопасности по выявлению и контролю уязвимостей, а разработчикам позволяет использовать привычные проверки без изменения инструментария, сохраняя высокий темп релизов.
Управляющий партнёр компании «Флант» Никита Борзых подчеркнул, что при миграции на отечественные платформы организациям критически важно совмещать привычные процессы разработки со средствами информационной безопасности. Он добавил, что Deckhouse Code выступает единой средой для CI/CD, управления изменениями и исходным кодом, а интеграция с «Шерлоком» дополняет процессы централизованным управлением уязвимостями, объединяет проверки разных сканеров и встраивает контроль безопасности в конвейеры, позволяя выстраивать полноценный процесс безопасной разработки на базе российских решений без усложнения работы команд.