🔄 AppSec Update: итоги квартала

Рассказываем про главные обновления продуктов AppSec Solutions: ускорение работы, новые фичи и улучшение интеграций.

▶️ AppSec.Hub 2025.4.2 — 2026.1.2

• Новые интеграции с Яга и AppSec.Wave, улучшение других интеграций.

• Автоматическое закрытие и переоткрытие дефектов, новые статусы False Positive и Accepted Risk.

• Расширенная фильтрация уязвимостей по сканам, импортам и веткам, управление командами.

• Оптимизация фронтенда, доработки Hub CLI и улучшения UX.

Подробнее —>

▶️ AppSec.Track 4.1.0 — 4.2.0

• Новый модуль OSA Firewall.

• Полноценный триаж.

• История сканирования всех приложений.

• Поддержка Bitbucket.

• Интерактивный граф зависимостей.

• Шаблоны отчетов.

Подробнее —>

▶️ AppSec.Wave 26.1.1 — 26.1.3

• Расширенная статусная модель сканирования.

• Групповая обработка уязвимостей стала проще.

• Оптимизация агентов и ускорение формирования отчетов.

• Интеграционное API для внешних сервисов.

• Кастомные отчеты, история изменений и отображение языков в срабатываниях.

Подробнее —>

▶️ AppSec.Code 26.1.1

• Обновленное ядро 18.7.

• Повышена производительность и стабильность (Docker/Kubernetes).

• Новые логи, статусы пайплайнов, доработанные виджеты и уведомления.

• Расширенные права доступа и контроль критичных операций.

Подробнее —>

Обновляйтесь и пробуйте новые возможности!

🔠 Рассылка | MAX

#AppSec_updates

🛡 Как защититься от supply chain-атак

В конце марта была зафиксирована одна из наиболее опасных атак на цепочку поставок за последнее время (CVE-2026-33634). Злоумышленники смогли скомпрометировать не просто библиотеки, а доверенные инструменты безопасности и CI/CD — включая Trivy, Checkmarx и LiteLLM.

Атака длилась всего несколько часов, но этого оказалось достаточно: вредоносные версии успели распространиться через GitHub Actions, Docker-образы и PyPI. В результате тысячи CI/CD-пайплайнов могли запускать зараженный код, приводя к утечке секретов, компрометации облачной инфраструктуры и закреплению в Kubernetes-кластерах.

С точки зрения защиты, подобные атаки хорошо показывают, почему классический SCA уже недостаточен: проверять только библиотеки — неэффективно, когда атакуются инструменты разработки и CI/CD-компоненты.

В этом контексте подход, реализованный в AppSec.Track, позволяет закрывать сразу несколько ключевых векторов, использованных в этой атаке.

— отмечает Михаил Макаров, руководитель продукта AppSec.Track.

Советы эксперта, на что делать упор в защите:

▶️ Контроль по дате и происхождению артефактов. В подобных инцидентах вредоносные версии появляются внезапно и «живут» короткое время. Политики безопасности (quality gates) по дате публикации позволяют автоматически блокировать такие обновления до их верификации. Это фактически разрывает начальную стадию атаки — доставку вредоносного компонента в контур разработки или в пайплайн.

▶️ Анализ не только продуктовых зависимостей, но и инструментов сборки. AppSec.Track рассматривает их как полноценную часть поверхности атаки (включая CLI-утилиты, GitHub Actions, контейнерные образы), что позволяет обнаруживать риск даже тогда, когда компрометирован не код приложения, а инфраструктурный компонент.

▶️ Работа с актуальной информацией по угрозам. Важным направлением развития является учет сигналов о реально эксплуатируемых уязвимостях и активных атаках, а не только формальных метрик вроде CVSS. Это позволяет смещать фокус приоритизации на те компоненты, которые представляют практический риск «здесь и сейчас».

Такой подход особенно критичен в сценариях целевых кампаний с горизонтальным перемещением (lateral movement), где скорость реакции и правильная приоритизация напрямую влияют на масштаб инцидента.

В результате такие механизмы не просто помогают обнаружить проблему, а снижают вероятность её попадания в продакшен в принципе, что в случае supply chain атак является наиболее эффективной стратегией защиты.

➡️ Контролируйте безопасность стороннего кода и защищайте цепочку поставок с AppSec.Track.

🔠 Рассылка | MAX

#Экспертиза_AppSec #AppSecTrack

🔗 Как выбрать SAST-инструмент и не пожалеть

Статический анализ давно превратился в обычный инструмент для безопасной разработки, как линтер или CI. Но ожидания от него изменились: нужен не просто сканер уязвимостей, а решение, которое вписывается в процессы и реально снижает риски.

На что стоит смотреть при выборе:

▶️ Скорость и готовность из коробки. Развернули, подключили проект и через несколько минут получили первый осмысленный отчёт. Анализ на каждый merge request, без боли для CI.

▶️ Качество детектирования. Тысячи находок, которые нужно разбирать вручную, убивают ценность инструмента. Важны покрытие реальных дефектов, минимум ложных срабатываний и фокус на тех местах, где уязвимость действительно эксплуатируема.

▶️ Поддержка языков и стеков. Реальные проекты живут на зоопарке технологий. Хороший SAST должен одинаково хорошо работать с монолитами, микросервисами, фронтендом и бэкендом и поддерживать основные языки программирования.

▶️ Интеграция с процессами. SAST, который живет сам по себе, быстро превращается в мёртвый инструмент. Инструмент должен запускаться в пайплайне, давать фидбек прямо в IDE и легко отдавать результаты в нужном формате.

▶️ Управление правилами и перенос экспертизы. Важно, чтобы решение позволяло адаптировать правила под свои нужды и переносить накопленную экспертизу из других сканеров.

Именно на этих принципах мы строили SAST-сканер AppSec.Wave: быстрый старт (~20 минут), высокая скорость анализа, 14 000+ правил и интеграция с привычными инструментами разработки.

Подробнее о критериях выбора инструмента и нашем подходе читайте в статье. 🖥

🔠 Рассылка | MAX

#Экспертиза_AppSec #AppSecWave #SAST

Национальные и суверенные ИИ-системы: насколько это реализуемо?

📄 Минцифры опубликовало законопроект об основах государственного регулирования сфер применения технологий искусственного интеллекта в Российской Федерации. Он определяет ответственность за результаты генерации, требования к использованию моделей в госсистемах, подходы к маркировке ИИ-контента и условия обучения на сторонних данных.

🌐 В документе, в частности, предлагается разделить системы ИИ на национальные и суверенные. Для получения такого статуса потребуется соответствие требованиям сертификации, а также локализация разработки и датасетов внутри страны.

В эфире РБК Радио Антон Башарин, старший управляющий директор AppSec Solutions, рассказал, что это значит на практике:

Подразумевается, что национальные и суверенные модели должны быть полностью разработаны и обучены на территории РФ. При этом большая часть современных решений построена на open-source компонентах, и быстро заменить их полностью российской разработкой крайне затруднительно.

Для реализации такого плана проектов потребуются дополнительные ресурсы, как человеческие, так и вычислительные. Необходимо будет заново выстраивать сбор и подготовку датасетов, включая обучение и тестирование моделей. Один из возможных подходов — более четкое определение и отделение персональных данных в российском правовом поле, а также формирование собственных массивов данных.

Пока речь идет о рамочном регулировании: значительная часть конкретных требований документа будет детализирована позже в подзаконных актах. Если законопроект примут, он вступит в силу с 1 сентября 2027 года.

⬇️ Слушайте запись эфира.

🔠 Рассылка | MAX

#Экспертиза_AppSec #ИИ

🔄 Встречайте релиз AppSec.Wave 26.2.1

Мы к вам с важной новостью — в AppSec.Wave появилась функциональность MCP-сервера для подключения к LLM-инструментам.

🔗 Интеграция позволяет проверять безопасность исходного кода и получать информацию об уязвимостях, а AppSec.Wave выступает в роли MCP-сервера.

Это дает новый способ взаимодействия с инструментом из AI-Native редакторов кода, таких как Claude Code, Cursor и их аналогов, а также из IDE.

⚙️ После подключения к MCP-серверу AppSec.Wave LLM-инструмент сам определяет, что сделать для выполнения запроса, например:

- запустить сканирование исходного кода,

- если обнаружены уязвимости, получить про них информацию,

- сформировать отчёт с результатами,

- совершить какие-либо дальнейшие действия с кодом и найденными уязвимостями.

Подробнее про MCP читайте на сайте.

➡️ Обновляйтесь и пробуйте новые возможности.

🔠 Рассылка | МАКС

#AppSecWave_релизы

🛡 Анализ достижимости в SCA: как перестать тонуть в уязвимостях и видеть реальные угрозы

Управление уязвимостями в сторонних компонентах остается одной из самых сложных задач для AppSec и разработки. Большое количество зависимостей, ложные срабатывания и трудности с приоритизацией замедляют процесс исправления и создают лишний шум.

🇷🇺 Сосредоточиться на серьезных дефектах безопасности помогает анализ достижимости, который определяет, доступен ли уязвимый код во время работы вашего приложения.

Как это работает:

▶️ Фокус на реальной эксплуатируемости
Система определяет, действительно ли уязвимый код используется в вашем приложении, а не просто присутствует в зависимостях.

▶️ Уменьшение числа ложных срабатываний
Анализ графа вызовов и контекста позволяет отсечь до 50% неактуальных уязвимостей и снизить нагрузку на команды.

▶️ Умная приоритизация
Приоритет определяется не только критичностью CVE, но и тем, достижима ли она в конкретном приложении.

▶️ Глубина анализа
Подход позволяет точно находить реальные точки риска: от зависимостей до конкретных функций в коде.

➡️ Скачивайте Руководство и узнайте, как работает анализ достижимости в нашей платформе AppSec.Track и как он помогает сфокусироваться на реальных рисках.

🔠 Рассылка | МАКС

#AppSecTrack #SCA

🎤 AppSec Solutions на CISO Forum 2026

28 апреля будем говорить про ИИ в кибербезопасности на CISO Forum –площадке, где лидеры ИБ обмениваются опытом и обсуждают ключевые вызовы отрасли.

📍 Трек B, 17:00 — 18:20

В дискуссии под руководством Юрия Шабалина, директора по развитию ИИ-технологий AppSec Solutions, эксперты из Яндекса, Сбера, HoffTech, 1С-Битрикс, Т-Банк, Билайн и Wildberris & Russ обсудят:

▶️ Новые возможности и уязвимости: генерация кода, автоматизация, LLM-интерфейсы.

▶️ Отравление данных, манипуляции обучающими выборками, AI-фишинг.

▶️ Встраивание ИБ в жизненный цикл ИИ: контроль, аудит, валидация моделей.

▶️ Ответственность за ошибки и искажения — техническая и управленческая.

▶️ Необходимость нормативной базы и единых принципов этики и доверия.

Приходите узнать, как AI уже меняет правила игры и как его защитить.

🔠 Рассылка | МАКС

#AppSec_Мероприятия #AISecurity