Управление безопасностью из единого окна: какие возможности предоставляет Security Gate и как с ним работать

Количество кибератак на ИТ-ресурсы российских компаний сохраняется на высоком уровне. Причем зачастую злоумышленники задействуют уязвимости, которые уже есть в используемых бизнесом сервисах на уровне кода. Именно поэтому одним из ключевых приоритетов становится безопасная разработка и внедрение практик проверки кода. Для решения этих бизнес-задач мы разработали Security Gate.

Рассказываем, что такое Security Gate, о предпосылках создания инструмента и его возможностях.

Зоны ответственности и требования к информационной безопасности

Информационная безопасность представляет собой важный аспект разработки программного обеспечения, однако подходы и приоритеты разных подразделений различаются.

Так:

• Руководители проектов заинтересованы в быстром получении общей картины состояния проекта, включая учет текущих дефектов и проблем.
• Разработчикам, создающим исходный код приложений, важна доступная и понятная информация о возможных рисках и проблемах безопасности непосредственно в процессе разработки.
• Для DevOps-инженеров критично понимание среды развертывания приложений и выявление потенциальных угроз, возникающих в контейнерах и инфраструктуре.

Одновременно с этим у команд информационной безопасности свои приоритеты:

• Руководители уровня CISO/BISO занимаются общим обзором защищенности всей экосистемы продуктов организации.
• В зоне ответственности специалистов направления AppSec защита приложений и управление выявленными уязвимостями.
• Команда DevSecOps работает над интеграцией процессов выявления и устранения рисков, обеспечивая непрерывный мониторинг и развитие методов защиты.

Основная сложность заключается в том, что обе команды фактически стремятся достичь одной цели (создать качественный и безопасный продукт), но действуют изолированно друг от друга. Это ведет к возникновению разрыва между разработкой и обеспечением безопасности, нарушая прозрачность процесса производства программного обеспечения. В связи с этим востребованными становятся решения, которые позволяют преодолеть этот барьер путем интеграции инструментов анализа безопасности прямо в процессы разработки, автоматизируя управление безопасностью кода и проверки надежности создаваемых решений.

От общего к частному: о кейсе команды VK

Команда VK также столкнулась с необходимостью построения прозрачной цепочки безопасной разработки для повышения защищенности своих приложений. Требование внедрения автоматизированных процедур возникло вследствие многообразия используемых технологий внутри экосистемы VK, включающих:

• разнообразные языки программирования;
• широкий спектр платформ управления проектами;
• разные релизные сценарии.

Причем ключевым условием было, чтобы внедрение стека для безопасной разработки позволило:

• охватить всю кодовую базу, то есть более 40 тысяч репозиториев и свыше 1 млрд строк;
• работать с проектами быстро и эффективно (интеграция в CI/CD, автосканирование);
• избежать зависимости от конкретного инструмента, чтобы иметь возможность менять стек без переработки окружений;
• уменьшить расходы на анализ кода (даже безопасная разработка ПО должна быть рентабельной).

После анализа всех требований стало очевидно, что лучшим решением будет разработка собственного сервиса. Таковым стал Security Gate.

Основное о сервисе

Security Gate — платформа, которая позволяет автоматизировать проверку безопасности кода в процессе разработки. Инструмент предназначен для обнаружения в коде ПО слабых мест и ошибок, потенциально угрожающих его защищенности.

Платформа объединяет возможности различных типов сканеров, обеспечивая выполнение широкого спектра задач, включая проверку контейнеров, выявление недостатков в используемых библиотеках, статический анализ, динамическое тестирование приложений и обнаружение конфиденциальных данных в хранилищах исходников.

Чтобы обеспечить полное покрытие существующей кодовой базы и автоматизировать проверку вновь вносимого кода в репозитории, Security Gate поддерживает разные типы интеграции:

• API. Данный способ подходит для ситуаций, когда отсутствуют инструменты непрерывной интеграции и доставки (CI/CD) и система контроля версий, но есть необходимость проверки существующего кода или требуются индивидуальные сценарии анализа.
• CI/CD Client. Данная интеграция обеспечивает классическое встраивание процесса проверки непосредственно в конвейеры сборки и развертывания программного продукта.
• GitLab WebHooks. Эта интеграция подразумевает, что каждый новый коммит в систему контроля версий автоматически проверяется на предмет наличия секретных данных вроде приватных ключей, аутентификационных токенов и паролей.
• GitLab (полная интеграция). Такой метод предполагает наиболее глубокую интеграцию инструмента с системами управления версиями, охватывая весь процесс хранения и обработки кода.

Рассмотрим пример полного внедрения Security Gate в инфраструктуру системы контроля версий. В таком сценарии:

• Security Gate самостоятельно связывается с установленной версией GitLab.
• Выполняется автоматическое обнаружение всех текущих и новых репозиториев.
• Осуществляется регистрация каждого найденного репозитория внутри Security Gate.
• Включается регулярное автоматизированное сканирование всех зарегистрированных репозиториев согласно заданному графику.
• Каждому участнику команды предоставляются соответствующие права для просмотра результатов проверок.

Благодаря этому реализуется бесшовная интеграция процессов разработки и обеспечения безопасности, которая гарантирует автоматическую проверку всего размещаемого в репозитории кода на предмет возможных дефектов, ошибок, утечек секретных данных и прочих угроз.

Детали технической реализации сервиса

Инструмент поддерживает:

• кросс-веточную обработку результатов, что упрощает работу с различными инструментами анализа и унифицирует обработку отчетов;
• приоритизацию найденных уязвимостей, которая позволяет команде сосредоточиться на наиболее значимых проблемах и сократить временные издержки на устранение менее критичных ошибок.

Остановимся чуть подробнее на каждой функции.

Кросс-веточная обработка результатов

При разработке нередко возникает ситуация, когда создается большое количество параллельных ветвей кода.

Например:

• разработчик берет общую базу проекта;
• создает отдельную ветвь (форк);
• добавляет туда новую функциональность или исправляет ошибки;
• сливает изменения обратно в главную мастер-ветку.

Однако этот подход имеет потенциальные риски: одна ошибка в основном проекте может распространиться на многочисленные форки, вызывая повторяющиеся срабатывания от разных инструментов анализа и создавая необходимость в трудоемком процессе устранения дубликатов.

В Security Gate эта проблема комплексно решена:

• Внедрена специальная технология исключения дублирующихся предупреждений при кросс-веточном анализе.
• Полный перечень проблем, обнаруженных в каждой ветви, доступен в единой панели мониторинга.
• Уникальный инцидент регистрируется лишь однажды, что существенно упрощает работу с результатами сканирования и устраняет необходимость повторного рассмотрения одной и той же угрозы.

Приоритизация уязвимостей

Многие инструменты анализа склонны преувеличивать серьезность найденных дефектов в коде, что вызывает избыточное число ложноположительных сигналов уровня High+ и затрудняет выделение действительно важных рисков. Из-за этого фокус разработчиков и специалистов по информационной безопасности может ошибочно смещаться — возможны даже ситуации, когда устранение простых ошибок будет расценено как более приоритетное, чем защита данных в приложениях от более острых угроз.

В отличие от них, Security Gate реализует следующий комплекс мер:

• приоритизация правил статического анализа (SAST);
• оценка критичности известных уязвимостей (CVE);
• динамическая настройка приоритетов для выявления секретных данных (Secret).

Этот подход позволяет точнее ранжировать обнаруживаемые недостатки, сокращая число фиктивных срабатываний высоких уровней и оставляя на самом верху списка только реально опасные дефекты, влияющие на безопасность приложений.

Важно, что ошибочно выявленные High- и Crit-уязвимости не удаляются, но из-за правильного ранжирования их приоритет снижается.

Алгоритм работы Security Gate

Процесс сканирования в Security Gate состоит из нескольких последовательных шагов:

1. Изначально, независимо от выбранного метода запуска (через API, CI/CD или GitLab), начинается этап детального анализа структуры приложения: определяется состав технологий, используемых языков программирования и прочие характеристики.
2. Далее выполняется настройка набора инструментов, необходимых для конкретного случая.
3. Затем инициируется само сканирование с применением нескольких специализированных анализаторов. Например, параллельно могут выполняться проверка кода посредством нескольких SAST-инструментов, поиск секретных данных и исследование уязвимостей зависимостей.
4. После завершения проверки выполняется удаление дублированных данных: сначала исключаются повторы среди самих сканирующих инструментов, затем — среди различных веток проекта, а также применяется особый режим кросс-веточной дедупликации. Такая многоуровневая схема гарантирует точное группирование одинаковых уязвимостей, делая их обработку удобной и эффективной.

Знакомство с Security Gate на практике

Теперь более подробно посмотрим, какие возможности предоставляет Security Gate.

Инструмент доступен в разделе «Сервисы безопасности» личного кабинета VK Cloud.

Для быстрого теста платформы здесь сразу доступно несколько пробных репозиториев с уязвимостями.

После прогона сканирования по каждому из них можно получить подробную информацию, в том числе с разбивкой всех выявленных уязвимостей по типам (SAST, Secrets, SCA).

Раздел SAST

Интерфейс Security Gate и алгоритм работы с сервисом нацелены на удобство пользователей, поэтому, например, в разделе с SAST можно сразу увидеть фрагменты кода с уязвимостями и даже способы их реализации.

Здесь же представлена и вся детальная информация о проблеме.

Для упрощения и развития экспертизы пользователей в Security Gate также предусмотрена LLM-модель, которая сможет подсказать, что такое XSS, CSRF, IDOR и RCE, и проконсультировать по поводу найденных уязвимостей.

Также в рамках раздела с SAST пользователю доступна отдельная вкладка с выявленными секретами — они частично затираются, но даже в таком виде информации достаточно для понимания, что стоит исправить.

Раздел SCA

В разделе SCA ошибки также структурированы и подробно описаны, но здесь они еще и сгруппированы по версиям ПО, в которых они выявлены.

В качестве отработки уязвимости пользователь может:

• подтвердить срабатывание;
• отклонить его с указанием причины;

• подтвердить исправление, чтобы в следующих сканированиях инструмент не срабатывал на уязвимость;
• оставить комментарий;
• посмотреть историю обнаружения уязвимости по веткам;

• изучить версию, историю, таску в Jira и не только.

Сканирование собственного проекта

Возможности Security Gate не ограничиваются проверкой тестовых репозиториев: пользователи даже в рамках бета-теста платформы могут сканировать свои проекты.

Для этого надо:

1. Зайти в Security Gate.
2. Перейти во вкладку «Мой проект».
3. Нажать «Добавить».

4. Ввести название проекта, добавить ссылку на проект или загрузить его в виде архива.

Подведем итоги

В условиях повышенной активности злоумышленников выстраивание DevSecOps-процессов при разработке ПО становится не опцией, а критической необходимостью, от которой зависят качество и надежность продуктов. Поэтому решения по ИБ, позволяющие соблюдать принципы безопасной разработки, становятся практически обязательными для стека любой компании. Security Gate — одно из таких решений, которое подойдет компаниям:

• с собственной разработкой;
• при внедрении или оптимизации используемых DevSecOps-практик;
• для масштабирования принципов безопасной разработки на все внутренние проекты и все команды;
• при работе с разнородной кодовой базой.

При этом с Security Gate можно начать работать уже сейчас — на платформе VK Cloud доступна демо-версия продукта, которую можно протестировать на реальных проектах.