InfoWatch Appercut Security
Appercut Custom Code Scanner (ACCS)

Облачный сервис Appercut Custom Code Scanner (ACCS) позволяет пользователям почти любого бизнес-приложения самостоятельно и практически мгновенно проанализировать его исходный код и обнаружить уязвимости, нарушения корпоративных стандартов ИБ и требований регуляторов. При этом сервис способен выявлять бреши, которыми могут воспользоваться как злоумышленники извне, так и инсайдеры.

2019: Методология Security development lifecycle с применением Appercut

Компания Attack Killer 19 февраля 2019 года представила методологию встраивания сканеров кода в процесс разработки программного обеспечения.

По словам представителей компании, методология встраивания безопасности в процесс разработки ПО, предлагаемая компанией Attack Killer, отличается от обычной практики, когда выявление и устранение неисправностей выделяется в отдельный этап и увеличивает срок до вывода нового продукта на рынок. Предложенная методология SDL (Security development lifecycle) предполагает использование сканера кода Appercut и инструментов комплексной безопасности Attack Killer на 7 основных этапах разработки: обучение, формирование требований, проектирование, реализация, верификация, выпуск и реагирование. Предложенный метод позволит надежно защитить продукты, независимо от используемой разработчиком модели SDLC (Software Development Life Cycle), утверждают в Attack Killer.

В рамках нашей методологии мы исходим из принципа, что в процессе разработки приложение должно быть защищено от раскрытия информации, изменения и разрушения; должна обеспечиваться корректная аутентификация и управление правами пользователей, а также конфигурациями, сеансами и ошибками, — подчеркнул директор по развитию продуктов Attack Killer Михаил Бубнов.

Вице-президент ГК InfoWatch Рустэм Хайретдинов рассказал о подходе компании Attack Killer к управлению безопасностью веб-ресурсов, который заключается во встраивании систем защиты в цикл создания и использования программного обеспечения. Эксперт отметил, что при создании методологии необходимо учитывать анализ платформы разработки, организационные меры, управление версиями, инструменты обеспечения безопасности в различных точках разработки и использования ИТ-систем.

2018: Получение сертификата ФСТЭК России

21 декабря 2018 года компания Attack Killer сообщила о получении сертификата ФСТЭК России InfoWatch Appercut Custom Code Scanner 4.0 — системы автоматизированного контроля исходного кода бизнес-приложений на соответствие требованиям по безопасной разработке программного обеспечения. По информации компании, данный сертификат подтверждает, что комплекс InfoWatch Appercut Custom Code Scanner соответствует нормативной документации и регламентирующим требованиям к программному обеспечению, используемому для защиты от несанкционированного доступа к информации.

На декабрь 2018 года массовая цифровизация стала причиной появления большого количества заказных разработок программного обеспечения, которые необходимо проверять на безопасность и качество кода. Получение сертификата ФСТЭК России гарантирует уровень защищенности и позволяет использовать InfoWatch Appercut в государственных, финансовых, промышленных и других организациях. Генеральный директор компании Attack Killer, вице-президент ГК InfoWatch Рустэм Хайретдинов

InfoWatch Appercut соответствует требованиям руководящего документа ФСТЭК России «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей» для 4 уровня контроля.

Результат анализа кода приложения или его фрагмента представляет собой отчет с рекомендациями по исправлению ошибок. На декабрь 2018 года InfoWatch Appercut интегрируется в любой этап жизненного цикла разработки между программированием и приемкой заказчиком, поддерживает более 20 языков программирования, а лицензия позволяет исследовать любое количество приложений бесконечное количество раз.

На декабрь 2018 года, решение поддерживает требования международных стандартов PCI DSS, практики CERT, OWASP и CWE, рекомендации SDLC, производителей платформ 1С, SAP, Oracle, Microsoft. Пользователи InfoWatch Appercut могут добавлять в базу данных некорректных программных конструкций собственные шаблоны, отражающие специфику бизнес-процессов организации.

2012: Поддержка 20 языков программирования

На октябрь 2012 года сервис поддерживает более 20 языков программирования, включая основные языки бизнес-приложений. Среди них: ABAP/4 платформы SAP R/3, PeopleCode систем Oracle CRM/HRMS, VBScript компании Microsoft, LotusScript платформы IBM Lotus Notes, а также внутренний язык «1С: Предприятие». Благодаря архитектуре сканнера (наличие встроенного нормализатора, переводящего анализируемую программу с исходного языка в унифицированное внутреннее представление) добавление новых языков является относительно простой задачей и происходит ежеквартально.

Не менее важно, что сканнер ACCS выявляет уязвимости, сверяя анализируемый код с шаблонами, хранящимися в базе данных. Компания Appercut Security располагает одной из самых полных в индустрии коллекций уязвимостей и сотрудничает с ведущими мировыми лабораториями, проводящими аудит ПО, что позволяет максимально оперативно добавлять в этот список описания новых угроз. Кроме того, пользователи коммерческой версии сканнера могут вносить в базу данных собственные шаблоны интересующих их фрагментов исходного кода, тонко настраивая ACCS и адаптируя его к корпоративным стандартам ИБ и требованиям регуляторов. А для крупных корпоративных заказчиков и организаций со спецтребованиями к ИБ разработана специальная версия сканнера, которую можно установить в «частное облако», находящееся внутри периметра безопасности.

Всем известны масштабы киберпреступности – и в нашей стране, и за рубежом. Но, как ни странно, многие недооценивают риски, связанные с этим. Те же, кто уже понимает, какие угрозы исходят от современного бизнес-ПО, – не видят практического способа противодействия. Одни методы слишком медленны, другие выявляют лишь малую часть брешей, третьи – дают результаты, которые, фактически, относятся к далекому прошлому. И все методы слишком дороги для большинства российских предприятий, – говорит Рустэм Хайретдинов, CEO компании Appercut Security. – Мы понимали это и создавали наш сервис, встав на сторону заказчика, поставив именно его интересы во главу угла. И решили, что правильнее дать рынку инструмент, позволяющий буквально за минуту выявить порядка 70% уязвимостей, чем бороться за каждый процент, теряя простоту, оперативность, доступность. Уверен, что Appercut Custom Code Scanner – именно тот инструмент защиты, которого так недоставало российскому бизнесу.

В России и странах ближнего зарубежья сервисы Appercut Security будут продвигаться под маркой InfoWatch Appercut Security – в рамках партнерской программы с системными интеграторами. Ее запуск намечен на октябрь 2012 года.