PT Application Inspector (PT AI) Enterprise Edition

PT Application Inspector (PT AI) Enterprise Edition — распределенная система, которая позволяет автоматизировать поиск уязвимостей и признаков недокументированных возможностей (далее — НДВ) в рамках жизненного цикла безопасной разработки и аудита информационной безопасности. В основе работы PT AI Enterprise Edition лежат методы, объединяющие достоинства статического и динамического анализа, а также анализа состава программного обеспечения.

PT AI Enterprise Edition может быть встроен в процесс непрерывной интеграции (англ. continuous integration, CI) на агентах сборки TeamCity, Jenkins и других, что позволяет проверять код на наличие уязвимостей в процессе сборки разрабатываемого продукта.

В PT AI Enterprise Edition реализована ролевая модель доступа. Каждый пользователь имеет соответствующий своей роли уровень доступа к данным и взаимодействует с продуктом с учетом специфики роли.

С помощью PT AI Enterprise Edition разработчики могут писать безопасный код, своевременно устраняя в нем уязвимости, а менеджеры безопасности могут контролировать процесс безопасной разработки.

Использование PT AI Enterprise Edition позволяет повысить качество и сократить сроки разработки и тестирования программного обеспечения, снизить трудоемкость поиска уязвимостей, характерную для ручного анализа.

Преимуществами PT AI Enterprise Edition являются:

ролевая модель доступа;
высокая эффективность поиска уязвимостей при низком уровне ложных срабатываний;
отсутствие необходимости в развертывании приложения;
наглядная демонстрация уязвимостей;
сокращение времени проверки кода за счет инкрементального сканирования, учитывающего предыдущие результаты;
исключение выбранных пользователем уязвимостей из результатов сканирования с помощью добавления комментариев в исходный код.

Ключевыми возможностями PT AI Enterprise Edition являются:

Реализация функциональных требований к инструментам статического анализа кода, изложенных в Методическом документе «Методика выявления уязвимостей и недекларированных возможностей в программном обеспечении» (для всех поддерживаемых языков, кроме C/C++)
Поддержка контролируемой сборки программного обеспечения для определения межмодульных связей. Контроль над сборкой реализуется в процессе работы ядра путем отбора проектных файлов, загрузки их зависимостей и последующего построения проектной системы, которая подвергается сканированию
Анализ кода на ранних стадиях разработки
Автоматическая генерация HTTP-запроса (эксплойта). Эксплойт позволяет проверить найденную уязвимость на развернутом приложении
Сканирование запущенного веб-приложения методом черного ящика на тестовом стенде. Сканер анализирует динамические скрипты, формы, параметры, заголовки и прочие входные точки, через которые данные попадают внутрь системы и оказывают на нее негативное воздействие
Поддержка пользовательских шаблонов поиска и пользовательских правил, предназначенных для выявления конструкций со специфичной бизнес-логикой или с признаками НДВ
Сбор статистических данных о результатах сканирования и найденных уязвимостях
Создание задач в Atlassian Jira на исправление уязвимостей, найденных при сканировании

Поддерживаются следующие языки программирования: