SASTAV

SASTAV – российское решение статического анализа приложений на уязвимости, как исходного кода, так и для анализа используемых компонентов с открытым исходным кодом (open source), с применением методологии каскадной AI-валидации найденных дефектов.

Запись в реестре отечественного ПО: №23718 от 29.08.2024. Свидетельство о регистрации программы для ЭВМ №2024661307 от 16.05.2024.

SASTAV встраивается в SDLC на самом раннем этапе, обеспечивая раннее обнаружение уязвимостей и повышение безопасности конечных приложений. Позволяет создать полноценный цикл безопасной разработки, соответствующий требованиям регуляторов. Результаты работы могут быть представлены как в самом приложении, так и экспортированы в виде отчётов. SASTAV поддерживает практики статического анализа исходного кода (SAST) и композиционного анализа (SCA).

Поддерживаемые языки:

ASP
C/C++
C#
Go
Groovy
Java
JavaScript
Kotlin
Lua
Objective-C
PHP
PLSQL
Perl
Python
Ruby
Scala
Swift
VB6
VbNet
VbScript

Функциональные особенности:

сканирование исходного кода (даже недописанного) без сборки;
вохранение истории триажа;
обучение системы по ранее проверенным уязвимостям;
описание уязвимости и рекомендации по устранению: понятно даже уровню junior;
композиционный анализ приложения на используемые зависимости;
формирование SBOM, выявление транзитивных зависимостей;
выявление уязвимых библиотек (в т.ч. protestware);
удобный мониторинг и контроль;
интеграция в цикл разработки.

Ключевые возможности

Точность и полнота: собственная логика определения наличия уязвимости на базе качественных источников и экспертизы в protestware. Точнее находим - быстрее исправляем.

Лицензионный контроль:выявление рисков используемых в компании лицензий OS компонентов и несоответствий политики компании.

Широкий охват: поддержка исходного кода, дистрибутивных пакетов, Docker-образов, SBOM, директорий и отдельных файлов.

Интеграция: совместимость с Nexus, JFrog, Harbor и другими репозиториями артефактов.

Dependency Firewall: контроль открытых компонентов до их попадания в компанию.

Два режима работы: классический анализ и сетевой proxy-режим для раннего перехвата.

Встраивание в SDLC: бесшовная интеграция в CI/CD, работа в закрытых контурах.

Управляемость: ролевая модель доступов, гибкие политики, блокирующие проверки безопасности и пороги качества.

Наглядность: интерактивный граф зависимостей и детальный состав компонентов: от пакета и версии до лицензии и риска.

Два режима - один результат: ранний перехват рисков.

Классический SCA

высокоточный поиск и приоритизация уязвимостей;
интеграция в CI/CD, работа в закрытых контурах;
встроенные политики и пороги качества в релизном процессе.

Dependency Firewall

установка в качестве активного или пассивного контроля за репозиториями артефактов;
режимы работы proxy для потока данных и event для реакции на события под разные сценарии и процессы компании;
блокирующие проверки безопасности и пороги качества на уровне артефактов в репозиториях.