🔹 Весенний вебинар CodeScoring: OSA Proxy, новая модель секретов и эволюция достижимости!

Уже 9 апреля мы встретимся с вами на вебинаре, где расскажем про обновления платформы, которые помогают выстроить эффективный процесс безопасной разработки и кратно снизить рутину для команд AppSec.

В программе:⬇️
🔴Безопасность без блокировок
Расскажем про все возможности CodeScoring.OSA Proxy и покажем уникальные для рынка подходы к защите цепочки поставок.

🔴Развитие достижимости
Анализ достижимости уязвимых методов стал еще шире, ведь мы добавили поддержку Python, Go, Kotlin, C# и визуализацию графа вызовов в UI.

🔴Новая модель оценки секретов
Мы серьезно прокачали наш подход и процесс обучения, расширив тренировочные данные. Как результат: снижение числа ложных срабатываний, чтобы ИБ-специалисты тратили время только на реальные угрозы.

🔴Поговорим о новой странице уязвимости, работе с ППК/SBOM, улучшенном графе зависимостей, группы проектов, интеграции с Kaiten и многом другом!

Вы сможете пообщаться с нашей продуктовой командой и задать вопросы в прямом эфире!

Дата и время: 9 апреля в 11:00 (мск)
👉🏻 Регистрация

До встречи! 😃
#вебинар_cs

🪐Алерты → задачи: встречайте интеграцию с Кайтен

Мы добавили интеграцию с российским таск-трекером Kaiten. Идея родилась из конкретного запроса клиента и выросла в полноценную функцию для всех пользователей.

Как это работает: когда срабатывает политика безопасности, специалист может создать задачу прямо из интерфейса и передать её команде разработки.

🌕 Вручную — если безопасник сам отбирает находки, группирует их, назначает приоритеты и ответственных.
🌕 Автоматически — подойдет для критичных кейсов, где важна скорость; задача будет создаваться при каждом срабатывании политики.

Задачи улетают на отдельную доску безопасности в Кайтен, откуда разработчики берут их в работу. Вид, тип и шаблон задачи легко настраивается.

Как подключить: генерируете токен в Кайтен и указываете его в настройках CodeScoring. Готово! Интеграция доступна с версии 2026.11.0.

🌕 Подробности в нашей документации.

Продолжаем делать AppSec-процессы удобнее 😁

#CodeScoring #безопаснаяразработка #kaiten

😃 Обновление CodeScoring 2026.20.0

В версии 2026.20.0 основной акцент сделан на разборе находок, приоритизации и организации результатов по проектам и образам.

Отдельное внимание уделили работе с составом компонентов: в платформе появились инструменты для работы с внутренними пакетами, новые данные для оценки уязвимостей и дополнительные возможности при импорте и выгрузке SBOM.

🧩 Триаж уязвимостей по стандарту VEX

В CodeScoring.SCA появился механизм триажа уязвимостей по стандарту VEX. Теперь для найденных уязвимостей можно назначать статус, указывать обоснование и фиксировать принятые решения.

Разбор уязвимостей стал ближе к рабочему процессу команды: по каждой находке можно не только увидеть технические данные, но и сохранить результат ручного анализа, например подтверждение проблемы или решение о том, что уязвимость не затрагивает проект.

Также обновлены данные и возможности работы с уязвимостями:

⭕ добавлены условия политик для отозванных зависимостей и ПО-вымогателей;
⭕ в экспериментальном режиме добавлена поддержка графа вызовов Joern для JavaScript для анализа достижимости уязвимых функций;
⭕ добавлен источник CISA KEV Catalog;
⭕ добавлены столбцы и фильтры по EPSS и SSVC;
⭕ обновлена логика отображения статуса отзыва.

🧩 CodeScoring.Secrets и TruffleHog

В CodeScoring.Secrets добавлена поддержка сканирования движком TruffleHog. Разные движки находят разные секреты, а CodeScoring дедуплицирует находки, чтобы команда работала с единым результатом без ручного сопоставления повторов.

Johnny также получил поддержку TruffleHog. Помимо этого в агенте расширены сценарии сканирования секретов: добавлены git-режим, флаг --commit для сканирования директорий и флаги для передачи конфигураций Gitleaks и TruffleHog.

🔖 Слои контейнерных образов

В CodeScoring.OSA появилась отдельная страница списка слоев образов. Также таблицы слоев добавлены на страницу отсканированного образа в проекте и на страницу контейнерного образа.

Для работы со слоями в Johnny добавлены команды создания слоев контейнерных образов.

⚡ Внутренние пакеты и SBOM

Для работы с внутренними пакетами (inner source) добавлены настройки на странице зависимостей проекта и фильтрация при выгрузке SBOM. Речь о пакетах, которые компания разрабатывает внутри и не публикует в open source.

При импорте SBOM Johnny теперь обрабатывает свойства GOST:provided_by, inner_source и source-distribution.

✅ Управление ветками проектов

Отдельно продолжается работа над более гибкой моделью версий в SCA-проектах. В этом релизе стали видны отдельные элементы этой модели: теперь ветками можно управлять в настройках проекта.

Полный список изменений доступен на странице Changelog в документации.

🪐Как Cloud Native и ИИ меняют разработку в России: участвуйте в исследовании

🔴Ассоциация облачно-ориентированных технологий (АОТ) запустила исследование State of Cloud Native — продолжение известного многим State of DevOps Russia. CodeScoring — партнёр этого проекта, и мы приглашаем вас помочь в оценке состояния индустрии.

🔴В этом году в фокусе подходы российских компаний к применению Cloud Native-технологий, ИИ в разработке и DevOps.

• Какие подходы обеспечивают безопасность разработки на разных этапах 
• Как команды используют нейросети в разработке
• Какие облачные практики и инструменты действительно работают
• Какой эффект компании получают от внедрения подобных технологий и др.

😁Если вы связаны с DevOps и разработкой, ответьте на вопросы по ссылке, это займет около 20 минут.

По итогам опроса организаторы подготовят детальный отчет со всеми ключевыми трендами 2026 года. Его результатами мы обязательно поделимся с вами!

Ценность безопасной разработки для бизнеса, защита мобильных приложений и контроль новых ИИ-угроз в цепочке поставки ПО

Собрали для вас дайджест свежих материалов от наших экспертов 😁

🔴 Как объяснить генеральному директору ценность безопасной разработки
Основатель CodeScoring Алексей Смирнов в статье для «Компьютерра» разобрал популярное заблуждение о том, что внедрение проверок на безопасность — это неоправданные расходы и тормоз для релизов. Выясняем, как правильно аргументировать сдвиг безопасности влево (Shift Left) и почему грамотно выстроенный DevSecOps снижает затраты на исправление уязвимостей.
🔗 Читать статью: Цена ошибки: как безопасная разработка становится драйвером развития бизнеса

🔴Защита мобильных приложений: инвентаризация и уязвимости из сторонних SDK
Безопасность начинается с понимания того, из чего состоит продукт: защищать то, о существовании чего вы не знаете, невозможно. Эту тему обсудили на круглом столе AMLive, в котором принял участие руководитель разработки продуктов CodeScoring Виталий Панасенко. Эксперты разобрали актуальные угрозы: от рисков внедрения сторонних скомпрометированных SDK до использования генеративного ИИ, который сам способен добавлять уязвимости в код.
🔗 Смотреть видео и читать текстовую версию: Anti-Malware

🔴Новые угрозы в цепочке поставки ПО и риски использования ИИ
Для обнаружения современных supply chain атак классических инструментов анализа уже недостаточно. О том, как эволюционировали угрозы за последний год, рассказал Антон Володченко в специальном видеоинтервью для редакции CISOCLUB на площадке CISO FORUM 2026. Поговорили о растущей зависимости от непроверенных open source библиотек, ИИ-рисков и шагов, которые помогут перейти к непрерывному контролю компонентов на всех этапах разработки.
🔗 Смотреть интервью: Антон Володченко про новые угрозы в цепочках поставок ПО и ИИ-риски

😁Читайте блог CodeScoring на Хабре!

Мы продолжаем развивать наш блог на Хабре, где делимся — и будем регулярно делиться — нашей экспертизой в области безопасной разработки и анализа открытого кода.

Вы уже успели прочитать наши первые статьи?

Атаки на цепочку поставки ПО: виды угроз и как с ними бороться
Артем Максимов, отвечающий за продуктовую экспертизу, разобрал главные векторы атак в open source на 2026 год. Читайте про вредоносные пакеты, тайпсквоттинг, путаницу в зависимостях и практические способы защиты контура разработки.
➡ Читать статью

Как мы в CodeScoring модель для поиска секретов готовили
Антон Володченко и Дарья Черешнюк рассказали, как мы перевнедрили ML для поиска утекших паролей и токенов. Внутри — много технических деталей о переходе на архитектуру CodeBERT, работе с токенизатором и о том, как нам удалось улучшить качество распознавания истинных секретов с 0.70 до 0.90 PR AUC.
➡ Читать статью

Трансформер в on-premise AppSec: как мы встроили ML-модель для классификации секретов в продукт без GPU
Натан Власенко, техлид модуля Secrets, поделился опытом интеграции CodeBERT-based модели классификации секретов в CodeScoring.Secrets с жесткими ограничениями по железу. История о том, как мы ускорили работу модели и сократили её размер в пять раз.

➡ Читать статью

Автоматизация SBOM в большом legacy-проекте: опыт LibreOffice и Collabora Online
Перевели доклад Торстена Беренца о создании SBOM для кодовой базы с многолетней историей. Внутри о том, как учесть всё многообразие компонентов — от C/C++ библиотек до сторонних шрифтов — и с нуля подготовить старый опенсорс к европейским требованиям по киберустойчивости.

➡ Читать статью

Подписывайтесь на наш блог на Хабре, комментируйте статьи и делитесь кармой ❤

😁 Безопасная разработка в частном и гибридном облаке

Мы успешно завершили испытания и подтвердили технологическую совместимость с экосистемой инфраструктурного ПО Orion soft.

🔴CodeScoring штатно разворачивается в управляемом Kubernetes-контуре на базе Nova и Hyperdrive в рамках сценариев интеграции. Мы проверили подключение внешних репозиториев исходного кода и реестров Docker‑образов, запуск сканирования и формирование уведомлений безопасности по результатам, подтвердили корректную работу пользовательских политик безопасности.
Многие компании сейчас внедряют cloud-native подходы и переносят разработку в частные или гибридные облака, и задача CodeScoring — сделать так, чтобы при переходе на новые инфраструктурные платформы можно было встроить инструменты контроля безопасности быстро и без разрыва привычных DevSecOps-сценариев.

➡️ Подробнее читайте в блоге CodeScoring
Продолжаем делать AppSec-процессы удобнее 😄

В июле будет много поводов для встреч! Делимся где, когда и в каком формате нас можно будет встретить ⬇️

🔴Код под контролем
2 июля, Москва | Оффлайн

Лев Новоженин, руководитель службы предпродажной подготовки, выступит с докладом «Комплексный подход к выстраиванию проверок безопасности Open Source».

🔴ProIT Fest
11 июля, Санкт-Петербург | Оффлайн

Виталий Панасенко, руководитель разработки продуктов, проведёт интерактив «Вы точно знаете свои API? Экспресс-оценка зрелости за 25 минут». Виталий проведет живую диагностику, которая покажет, что даже с WAF и CI/CD часть API может оставаться вне поля зрения.

🔴PyCon
24-25 июля, Москва, Бизнес.Техноград, ВДНХ | Оффлайн

Одна из самых больших и атмосферных конференций для Python-разработчиков, 500+ участников уровня Middle и выше! В этот раз у нас будет свой стенд - подходите общаться!

🔴Встреча РБПО-сообщества
28-30 июля, Чебоксары, ЧГУ им. И.Н. Ульянова | Оффлайн

Встреча участников РБПО-сообщества ФСТЭК России и ИСП РАН. Артём Максимов, продуктовый аналитик CodeScoring, выступит для студентов Университета ЧГУ им. И.Н. Ульянова

🔴Kubernetes Community Day
30 июля, Москва | Оффлайн + онлайн-трансляция

Дмитрий Ключников, руководитель разработки продуктов, приоткроет завесу нашего нового модуля, который совсем скоро выходит в релиз. Подробнее в докладе: «От «хранилища» к supply chain platform. Эволюция, которую пропустило большинство команд».

🦊 Обновление CodeScoring 2026.27.0

В версии 2026.27.0 основной акцент сделан на ускорении результатов анализа и улучшении интерфейса платформы. Также расширилось покрытие технологий и появились новые инструменты для поиска секретов.

⚡ Ускорение расчета политик

В данном релизе завершён ключевой этап большого архитектурного перехода – расчёт политик во всех модулях переведён на сервис Judge, написанный на Go, который уже использовался в OSA Proxy. По результатам нашего нагрузочного тестирования общее время выполнения SCA-анализа сократилось на 30–40%.

🔖 Улучшения интерфейса

В платформе переработана панель фильтров на ключевых страницах. Наиболее востребованные параметры теперь видны сразу, остальные собраны в меню «Ещё».

Порядок фильтров пересмотрен с учётом частых сценариев работы. В длинных списках появился поиск, а для дат и числовых значений можно задать только начальную или конечную границу диапазона. Единый подход к фильтрации теперь применяется по всей платформе.

Также на основном дашборде появился новый график воронки уязвимостей, который последовательно сужает общий объём найденных уязвимостей в CodeScoring.SCA до тех, которые требуют внимания команды в первую очередь.

🔖 Новые экосистемы и интеграции

CodeScoring и агент Johnny получили поддержку проектов на языке R. Агент обрабатывает файлы DESCRIPTION и renv.lock и поддерживает локальное разрешение зависимостей для renv.

Также добавлена поддержка пакетного менеджера Hex для трёх языков экосистемы BEAM:

⭕ Elixir – mix.exs и mix.lock;
⭕ Erlang – rebar.config и rebar.lock;
⭕ Gleam – gleam.toml и manifest.toml.

Johnny обрабатывает эти форматы и разрешает зависимости средствами соответствующих пакетных менеджеров. Помимо этого добавлена поддержка файлов libs.versions.toml и settings.gradle.* для Java, Kotlin и Groovy экосистем.

Также CodeScoring.OSA теперь поддерживает подключение платформы GitFlic в качестве менеджера репозиториев.

🔐 Kingfisher в CodeScoring.Secrets

В CodeScoring.Secrets добавлена поддержка сканирования движком Kingfisher. Его можно использовать наряду с Gitleaks и TruffleHog, в том числе с собственной конфигурацией и набором правил.

Результаты сохраняются и дедуплицируются в общем рабочем контуре модуля.

✅ Расширенное управление доступом через OIDC

В CodeScoring появилось сопоставление данных авторизации от OIDC-провайдера с группами и уровнями доступа в платформе. Правила применяются при входе и назначают права на основе данных корпоративного провайдера идентификации.

Администратор также может ограничить вход значениями из выбранного пользовательского атрибута – например, допускать только пользователей из заданных групп.

Полный список изменений доступен на странице changelog в документации.

✔️ Кейс CodeScoring и Т1 Иннотех: непрерывный контроль Open Source при enterprise-нагрузках

На нашем сайте вышел материал о нашем многолетнем сотрудничестве с Т1 Иннотех. Рассказываем, как AppSec-команда компании развивает процесс безопасной разработки и выстраивает защиту контура от атак на цепочку поставок ПО с применением CodeScoring.

🔗 Читать полную версию кейса

😁Свежие статьи в блоге CodeScoring на Хабре

🔴Модели угроз пакетных менеджеров
Разбираем, как смотреть на безопасность пакетных менеджеров и реестров пакетов не только через CVE, но и через их архитектурные особенности. Выполнение кода при установке, гарантии lockfile, dependency confusion, typosquatting, жизненный цикл мейнтейнеров и другие векторы атак, без внимания к которым сложно построить полноценную модель угроз для цепочки поставки ПО.
➡️Читать статью

🔴Принципы безопасности для пакетных репозиториев
Подготовили перевод статьи от OpenSSF о четырех уровнях зрелости безопасности пакетных индексов и лучших практиках их защиты.
➡️Читать статью

🔴Пакетным менеджерам пора ввести период охлаждения
Статья про актуальные возможности пакетных менеджеров по временному карантину (cooldown) открытых пакетов. Как небольшая задержка перед установкой новых версий зависимостей может снизить риски атак на цепочку поставки и добавить эффективности службе безопасности приложений.
➡️Читать статью

Подписывайтесь на наш блог на Хабре ❤️

✔️ Кейс CodeScoring и «Ингосстраха»: автоматизация контроля Open Source и поиск вредоносных пакетов

🔴Рассказываем, как DevSecOps-команда страховой компании перешла от «полуручной» проверки Open Source зависимостей к системной автоматизации с помощью CodeScoring и защитила корпоративный контур от атак на цепочку поставки ПО.

🔗 Читать полную версию кейса

😁 Единое окно для AppSec: CodeScoring + «Шерлок»

Мы реализовали бесшовную интеграцию с платформой для управления ИБ-дефектами «Шерлок» от Axel PRO. Что это значит:

🔴Работа в одном окне: запускать сканирования в CodeScoring и управлять проектами можно прямо из интерфейса «Шерлока».

🔴Централизованный сбор данных: результаты SCA-сканирований и поиска секретов автоматически передаются в ASOC-систему для оценки актуальности уязвимостей.

🔴Прозрачные процессы РБПО: сквозная видимость жизненного цикла ИБ-дефектов.

Все функции уже штатно доступны пользователям «Шерлока».

➡️ Подробнее читайте в блоге CodeScoring 

Продолжаем делать AppSec-процессы удобнее ❤️