CodeScoring Updates

Ценность безопасной разработки для бизнеса, защита мобильных приложений и контроль новых ИИ-угроз в цепочке поставки ПО Собрали для вас дайджест свежих материалов от наших экспертов 😁 🔴 Как объяснить генеральному директору ценность безопасной разработки Основатель CodeScoring Алексей Смирнов в статье для «Компьютерра» разобрал популярное заблуждение о том, что внедрение проверок на безопасность — это неоправданные расходы и тормоз для релизов. Выясняем, как правильно аргументировать сдвиг безопасности влево (Shift Left) и почему грамотно выстроенный DevSecOps снижает затраты на исправление уязвимостей. 🔗 Читать статью: Цена ошибки: как безопасная разработка становится драйвером развития бизнеса 🔴Защита мобильных приложений: инвентаризация и уязвимости из сторонних SDK Безопасность начинается с понимания того, из чего состоит продукт: защищать то, о существовании чего вы не знаете, невозможно. Эту тему обсудили на круглом столе AMLive, в котором принял участие руководитель разработки продуктов CodeScoring Виталий Панасенко. Эксперты разобрали актуальные угрозы: от рисков внедрения сторонних скомпрометированных SDK до использования генеративного ИИ, который сам способен добавлять уязвимости в код. 🔗 Смотреть видео и читать текстовую версию: Anti-Malware 🔴Новые угрозы в цепочке поставки ПО и риски использования ИИ Для обнаружения современных supply chain атак классических инструментов анализа уже недостаточно. О том, как эволюционировали угрозы за последний год, рассказал Антон Володченко в специальном видеоинтервью для редакции CISOCLUB на площадке CISO FORUM 2026. Поговорили о растущей зависимости от непроверенных open source библиотек, ИИ-рисков и шагов, которые помогут перейти к непрерывному контролю компонентов на всех этапах разработки. 🔗 Смотреть интервью: Антон Володченко про новые угрозы в цепочках поставок ПО и ИИ-риски

🪐Как Cloud Native и ИИ меняют разработку в России: участвуйте в исследовании 🔴Ассоциация облачно-ориентированных технологий (АОТ) запустила исследование State of Cloud Native — продолжение известного многим State of DevOps Russia. CodeScoring — партнёр этого проекта, и мы приглашаем вас помочь в оценке состояния индустрии. 🔴В этом году в фокусе подходы российских компаний к применению Cloud Native-технологий, ИИ в разработке и DevOps. • Какие подходы обеспечивают безопасность разработки на разных этапах  • Как команды используют нейросети в разработке • Какие облачные практики и инструменты действительно работают • Какой эффект компании получают от внедрения подобных технологий и др. 😁Если вы связаны с DevOps и разработкой, ответьте на вопросы по ссылке, это займет около 20 минут. По итогам опроса организаторы подготовят детальный отчет со всеми ключевыми трендами 2026 года. Его результатами мы обязательно поделимся с вами!

😃 Обновление CodeScoring 2026.20.0 В версии 2026.20.0 основной акцент сделан на разборе находок, приоритизации и организации результатов по проектам и образам. Отдельное внимание уделили работе с составом компонентов: в платформе появились инструменты для работы с внутренними пакетами, новые данные для оценки уязвимостей и дополнительные возможности при импорте и выгрузке SBOM. 🧩 Триаж уязвимостей по стандарту VEX В CodeScoring.SCA появился механизм триажа уязвимостей по стандарту VEX. Теперь для найденных уязвимостей можно назначать статус, указывать обоснование и фиксировать принятые решения. Разбор уязвимостей стал ближе к рабочему процессу команды: по каждой находке можно не только увидеть технические данные, но и сохранить результат ручного анализа, например подтверждение проблемы или решение о том, что уязвимость не затрагивает проект. Также обновлены данные и возможности работы с уязвимостями: ⭕ добавлены условия политик для отозванных зависимостей и ПО-вымогателей; ⭕ в экспериментальном режиме добавлена поддержка графа вызовов Joern для JavaScript для анализа достижимости уязвимых функций; ⭕ добавлен источник CISA KEV Catalog; ⭕ добавлены столбцы и фильтры по EPSS и SSVC; ⭕ обновлена логика отображения статуса отзыва. 🧩 CodeScoring.Secrets и TruffleHog В CodeScoring.Secrets добавлена поддержка сканирования движком TruffleHog. Разные движки находят разные секреты, а CodeScoring дедуплицирует находки, чтобы команда работала с единым результатом без ручного сопоставления повторов. Johnny также получил поддержку TruffleHog. Помимо этого в агенте расширены сценарии сканирования секретов: добавлены git-режим, флаг --commit для сканирования директорий и флаги для передачи конфигураций Gitleaks и TruffleHog. 🔖 Слои контейнерных образов В CodeScoring.OSA появилась отдельная страница списка слоев образов. Также таблицы слоев добавлены на страницу отсканированного образа в проекте и на страницу контейнерного образа. Для работы со слоями в Johnny добавлены команды создания слоев контейнерных образов. ⚡ Внутренние пакеты и SBOM Для работы с внутренними пакетами (inner source) добавлены настройки на странице зависимостей проекта и фильтрация при выгрузке SBOM. Речь о пакетах, которые компания разрабатывает внутри и не публикует в open source. При импорте SBOM Johnny теперь обрабатывает свойства GOST:provided_by, inner_source и source-distribution. ✅ Управление ветками проектов Отдельно продолжается работа над более гибкой моделью версий в SCA-проектах. В этом релизе стали видны отдельные элементы этой модели: теперь ветками можно управлять в настройках проекта. Полный список изменений доступен на странице Changelog в документации.

🪐Алерты → задачи: встречайте интеграцию с Кайтен Мы добавили интеграцию с российским таск-трекером Kaiten. Идея родилась из конкретного запроса клиента и выросла в полноценную функцию для всех пользователей. Как это работает: когда срабатывает политика безопасности, специалист может создать задачу прямо из интерфейса и передать её команде разработки. 🌕 Вручную — если безопасник сам отбирает находки, группирует их, назначает приоритеты и ответственных. 🌕 Автоматически — подойдет для критичных кейсов, где важна скорость; задача будет создаваться при каждом срабатывании политики. Задачи улетают на отдельную доску безопасности в Кайтен, откуда разработчики берут их в работу. Вид, тип и шаблон задачи легко настраивается. Как подключить: генерируете токен в Кайтен и указываете его в настройках CodeScoring. Готово! Интеграция доступна с версии 2026.11.0. 🌕 Подробности в нашей документации. Продолжаем делать AppSec-процессы удобнее 😁 #CodeScoring #безопаснаяразработка #kaiten

🔹 Весенний вебинар CodeScoring: OSA Proxy, новая модель секретов и эволюция достижимости! Уже 9 апреля мы встретимся с вами на вебинаре, где расскажем про обновления платформы, которые помогают выстроить эффективный процесс безопасной разработки и кратно снизить рутину для команд AppSec. В программе:⬇️ 🔴Безопасность без блокировок Расскажем про все возможности CodeScoring.OSA Proxy и покажем уникальные для рынка подходы к защите цепочки поставок. 🔴Развитие достижимости Анализ достижимости уязвимых методов стал еще шире, ведь мы добавили поддержку Python, Go, Kotlin, C# и визуализацию графа вызовов в UI. 🔴Новая модель оценки секретов Мы серьезно прокачали наш подход и процесс обучения, расширив тренировочные данные. Как результат: снижение числа ложных срабатываний, чтобы ИБ-специалисты тратили время только на реальные угрозы. 🔴Поговорим о новой странице уязвимости, работе с ППК/SBOM, улучшенном графе зависимостей, группы проектов, интеграции с Kaiten и многом другом! Вы сможете пообщаться с нашей продуктовой командой и задать вопросы в прямом эфире! Дата и время: 9 апреля в 11:00 (мск) 👉🏻 Регистрация До встречи! 😃 #вебинар_cs

😃 Обновление CodeScoring 2026.11.0 В версии 2026.11.0 мы существенно обновили ML-модель в модуле CodeScoring.Secrets, расширили данные, доступные при анализе уязвимостей, и внедрили отдельную страницу для работы с алертами. Также в платформе появилась интеграция с Кайтен, которая позволяет напрямую связывать результаты анализа с рабочими задачами команды. 🌟 Обновленная ML-модель для оценки истинности секретов Начиная с лета прошлого года мы работали над улучшением ML-модели для оценки истинности найденных секретов в исходном коде! Мы расширили и очистили обучающий набор данных, добавили новые примеры и обновили саму модель, а также переработали обработку фрагментов кода вокруг потенциальных секретов. В результате точность распознавания выросла с 0,70 до 0,90 по метрике PR AUC – показателю, который отражает способность системы отличать реальные секреты от ложных срабатываний. 🔻 Детальная страница алерта В интерфейсе платформы появилась отдельная страница алерта, которая позволяет подробнее изучать срабатывания политик безопасности и работать с ними напрямую. Также расширен экспорт данных об алертах. В CSV и PDF-отчётах теперь отображается статус блокировки и заметки про игнор. Дополнительно в экспорте используется идентификатор алерта, что упрощает сопоставление данных отчётов с объектами в интерфейсе. ⚡️Расширенные данные об уязвимостях Платформа получила новые источники и метрики для оценки уязвимостей. Теперь в интерфейсе отображаются: 🔴CVSS v4 - для более точной оценки риска с учётом взаимодействия пользователя и условий эксплуатации 🔴EPSS - для оценки вероятности эксплуатации уязвимости 🔴SSVC v2.0.3 - для приоритизации исправления уязвимостей по степени потенциального влияния 🔴Категории протестного ПО Эти данные можно использовать в политиках безопасности вместе с другими параметрами уязвимостей. Также обновлена логика отображения информации об уязвимостях. Если данные поступают из нескольких источников, теперь система: 🔴показывает максимальную оценку для каждой версии CVSS 🔴отображает самые ранние даты публикации и отзыва и самую позднюю дату обновления уязвимости 🔴использует обновлённый приоритет провайдеров метаданных ✔️ Интеграция с Кайтен В платформе появилась интеграция с системой управления задачами Кайтен. Теперь по результатам анализа можно создавать задачи в Кайтен напрямую из интерфейса CodeScoring и связывать алерты безопасности с рабочими процессами команды. Это упрощает передачу результатов анализа в системы управления разработкой и помогает отслеживать устранение проблем. 🌟 Развитие анализа достижимости Мы продолжаем расширять список поддерживаемых языков в рамках анализа достижимости уязвимых функций – в этом релизе добавлено построение графа вызовов для языка C#. Благодаря обновлению модуля Svace построение графа вызовов теперь также доступно на Windows. Также добавлена поддержка удаленного анализа. ➡️ Полный список изменений доступен на странице Changelog в документации.

😃Обновление плагинов CodeScoring для VS Code и IntelliJ-based IDE В новом релизе плагинов 2026.8.0 добавлена возможность просмотра алертов политик безопасности прямо в IDE. Разработчики могут видеть, какие политики сработали при анализе кода и получать детальную информацию: 🔴 уровень политики 🔴 статус блокировки 🔴 связанные пакеты 🔴 критерии, которые вызвали срабатывание Также устранены проблемы совместимости с IntelliJ и ошибки при автоматическом применении исправлений в обоих плагинах. Работа с инструментами стала более стабильной и предсказуемой. ✔️ Теперь команды могут удобнее проверять соответствие корпоративным политикам безопасности прямо в среде разработки, ещё до того, как код попадёт в пайплайн сборки. Это помогает заранее предотвращать нарушения и интегрировать анализ кода в привычный рабочий процесс. Новые версии плагинов уже можно скачать в маркетплейсах ⬇️ 🔴JetBrains 🔴VS Code 🔴OpenIDE

CodeScoring: плагины, интеграции, выступления! 🤝 Совместимость с Deckhouse Мы подтвердили совместимость нашего продукта с Deckhouse Kubernetes Platform. Команды «Фланта» и CodeScoring оценили качество выполнения практик контроля безопасности Open Source и анализа секретов в коде. Надежная работа CodeScoring в кластерах DKP подтверждена, к использованию в продуктивной среде готовы! Детали на CISOCLUB 🔌 Интеграция с платформой «Сфера» Команда CodeScoring разработала плагин для продукта «Сфера.Дистрибутивы и Лицензии» (платформа «Сфера», разработанная вендором НОТА, холдинг Т1). Плагин обеспечивает прямую интеграцию с модулем CodeScoring.OSA, не зависит от зарубежных систем и помогает выстроить безопасный процесс проверки сторонних компонентов. Читайте подробнее на CNews 🎤 Выступление на Stereo Data Ёлке Алексей Смирнов на мероприятии в Петербурге подвел итоги 2025 года в open source, рассказал, какие уязвимости доставили больше всего проблем, и напомнил, как систематически с ними бороться. Смотрите запись доклада на VK Video Дальше — больше!

🤖 Обновление CodeScoring 2026.3.0 В первом релизе 2026 года мы сосредоточились на ключевых улучшениях для разбора уязвимостей, новых возможностях анализа достижимости и повышении удобства работы с перечнем программных компонентов. 📄 Новая страница уязвимости Визуальный интерфейс страницы стал удобнее и нагляднее. Теперь на ней можно просматривать детальные данные из каждого источника, в котором была обнаружена уязвимость, сохраняя единый идентификатор и контекст. Помимо этого, на странице появилось разделение затронутых компонентов на: - зависимости из SCA-проектов; - пакеты, проверенные модулем CodeScoring.OSA. Это упрощает оценку рисков и помогает тонко настроить процессы, связанные с разбором уязвимостей. 🔗 Развитие анализа достижимости В интерфейсе появилась страница с визуализацией пути до уязвимого метода. Она позволяет отследить цепочку вызовов, перейдя в новый раздел прямо из списка уязвимостей. К списку поддерживаемых языков данного функционала добавился Kotlin. 🔎 SBOM и работа с зависимостями В этом релизе мы провели масштабную работу над улучшением работы с перечнем программных компонентов: - добавлена поддержка CycloneDX 1.7; - добавлено поле GOST:provided_by для соответствия требованиям ФСТЭК России к перечню программных компонентов; - оптимизирована скорость анализа зависимостей; - реализована возможность указывать ветку или тег при импорте SBOM; - реализовано получение списка доступных форматов SBOM через API; - внедрена дополнительная проверка формата и версии загружаемого SBOM. Эти изменения позволяют командам корректно управлять составом компонентов в соответствии с отечественными стандартами безопасной разработки. ⚙️ Использование списков при создании политик Теперь при формировании правила внутри политики можно задать не единственное значение, а список нужных сущностей. Например, набор идентификаторов уязвимостей или компонентов. Таким образом, политики становятся более гибкими и выразительными, а настройка правил – быстрее и удобнее для сложных сценариев контроля. 🌼 CodeScoring.TQI: аналитика и новые графики Модуль CodeScoring.TQI получил новые графики и метрики для оценки активности авторов и динамики проектов. Теперь с его помощью можно: - посчитать плотность и скорость изменения кода в проекте; - увидеть общее влияние изменений на сводном графике. Время подсчета метрик в проектах существенно сократилось за счет перехода на новый механизм разбора коммитов. Также добавлена фильтрация по типу коммитов в списке коммитов, а визуализация проектов стала более информативной. Команды могут быстрее выявлять зоны риска и изучать динамику работы над проектами в ретроспективе. 📌Другие улучшения - В консольном агенте Johnny добавлена поддержка пакетного менеджера bun, а также добавлены списки проигнорированных политик, локализация отчетов и параметры категории и группы проекта; - Для находок в модуле Secrets добавлены поля “Энтропия” и “Координаты”. Полный список изменений доступен на странице Changelog в документации.😁

🙌 Итоги 2025 года в CodeScoring 2025 стал для нас годом инноваций и укрепления позиций! За это время мы: - внедрили значительные улучшения в продукт - расширили сеть сотрудничества - активно участвовали в ключевых событиях отрасли CodeScoring эволюционирует, чтобы точнее соответствовать актуальным задачам безопасной разработки и оставаться надежным партнёром для более чем 40 тысяч разработчиков в России. Оглядываясь на прошедшие месяцы, мы рады поделиться основными успехами нашей команды и заглянуть в будущее. 🔗 Читайте полные итоги на нашем сайте. Пусть 2026 принесёт гармонию в процессах, уверенность в коде и вдохновение для новых идей. С наступающим! 🎄

🍀 Новый сервис OSA Proxy В модуле CodeScoring.OSA появился новый сервис – OSA Proxy. Он выступает посредником между пакетными менеджерами и их удалёнными репозиториями, автоматически проверяя пакеты и блокируя небезопасные версии в соответствии с политиками безопасности. Это позволяет внедрять модуль CodeScoring.OSA без привязки к хранилищам артефактов и гарантирует соблюдение требований безопасности при работе с внешними пакетными индексами. OSA Proxy помогает централизованно контролировать загрузку компонентов с помощью политик безопасности, снижает риск попадания уязвимых версий в проекты и упрощает интеграцию с существующими процессами разработки. На данный момент сервис поддерживает Maven Central, NPM, PyPI, NuGet, Go Modules, Debian, а также альтернативные репозитории, совместимые с официальными спецификациями. 🌕 Прямая интеграция OSA Proxy работает напрямую с индексами экосистем, что упрощает внедрение и сокращает время на настройку инфраструктуры. Команды получают возможность подключать сервис без необходимости изменять привычные рабочие процессы. 🌕 Контроль безопасности на лету Каждый манифест и пакет проходят проверку на соответствие политикам безопасности. Уязвимые версии исключаются из манифестов, а загрузка небезопасных архивов блокируется ещё до попадания в проект. Это позволяет специалистам сосредоточиться на исправлении реальных угроз, не отвлекаясь на ручной контроль. 🌕 Управляемые ответы OSA Proxy модифицирует ответы от сторонних репозиториев: удаляет запрещённые версии, перенаправляет ссылки и пересчитывает контрольные суммы, сохраняя корректность форматов. Благодаря этому внешние инструменты и пакетные менеджеры продолжают работать корректно, а проекты защищены от случайного использования уязвимых компонентов. 🌕 Гибкие режимы работы Сервис поддерживает несколько режимов работы: от «наблюдателя» до строгой блокировки. Это позволяет адаптировать уровень контроля под требования конкретной команды, обеспечивая баланс между безопасностью и непрерывностью разработки. 🌕 Надёжная и масштабируемая архитектура Асинхронная модель обработки и механизм автоматических повторов при временных ошибках обеспечивают стабильность даже при высоких нагрузках. Сервис спроектирован легко масштабируемым и рассчитан на высокую нагрузку, в соответствии с требованиями современной инфраструктуры. OSA Proxy доступен всем пользователям модуля CodeScoring.OSA. Подробнее о настройке и возможностях – в нашей открытой документации.

CodeScoring вновь на открытой конференции ИСП РАН! 🎉В этом году команда CodeScoring уже в третий раз участвует в качестве партнера открытой конференции Института системного программирования им. В.П. Иванникова. Каждый год конференция растет и представляет насыщенную и интересную программу, где каждый может найти полезную информацию в своей деятельности: от технических аспектов последних научных разработок, до применения технологий в реальных задачах. 👀 От CodeScoring мы приготовили два выступления: 1. 09.12 в 15:20 В блоке технологических партнеров ИСП РАН мы расскажем о нашем успешном опыте применения технологий Института на практике и как не бояться научных организаций. 2. 10.12 в 17:30 В рамках дня безопасной разработки АРПП представим доклад "Большие обманы Open Source: обзор популярных атак на цепочку поставки", приходите послушать, чем запомнился уходящий год. Полная программа уже доступна. На нашем стенде 9 и 10 декабря вы сможете лично познакомиться с руководителями продуктов и службой заботы, узнать о ближайших планах развития нашей платформы и пообщаться о перспективных сотрудничествах от технологий до коммерции. 🗓 9-10 декабря 2025 📍 Кластер «Ломоносов», Москва ✅ Регистрация до 6 декабря включительно

🚀 Обновление CodeScoring 2025.45.0: оценка новизны кода, поддержка Python и Go в анализе достижимости, группировка SCA-проектов, разбор манифестов UV и улучшенный граф зависимостей В этом релизе мы сосредоточились на развитии аналитики в модуле CodeScoring.TQI, расширении списка поддерживаемых языков в анализе достижимости уязвимостей и улучшении инструментов по работе с результатами композиционного анализа. Поддержка новых языков в анализе достижимости В анализ достижимости добавлены языки Python и Go. Благодаря этому команды могут оценивать реальную эксплуатируемость уязвимостей и концентрироваться на тех, что действительно влияют на безопасность, снижая объём ручной проверки. CodeScoring.TQI: новизна кода и улучшенная аналитика В модуле CodeScoring.TQI появился расчёт новизны кода (code churn) – метрика, которая помогает отслеживать темп изменений в кодовой базе и выявлять потенциально нестабильные участки. Также добавлены: - метрики по коммитам и изменениям строк от авторов, которые теперь также визуализируются в профилях; - новые фильтры и поля в списке проектов автора, включая фильтрацию по технологии. Эти обновления предоставляют командам новые инструменты анализа и оценки качества и динамики разработки. Новая группировка SCA-проектов В интерфейсе платформы добавился новый раздел “Группы проектов” для модуля CodeScoring.SCA. В нём агрегируется информация по композиционному анализу всех проектов внутри группы – от расчета уникальных уязвимостей до единого списка алертов.  Таким образом, стало проще управлять наборами репозиториев и отслеживать метрики безопасности на широком масштабе. Улучшенный граф зависимостей Реализация графа зависимостей была полностью переработана технически и существенно обновлена визуально. Теперь можно отфильтровать отображаемые связи между компонентами, отдельно работать с путями до корня проекта или дочерних связей, выбрать показ только уязвимых зависимостей или разделить граф на несколько частей по используемым технологиям. Помимо этого улучшена интерактивность графа и работа с масштабированием. Johnny: поддержка нового пакетного менеджера UV Агент Johnny теперь обрабатывает зависимости из пакетного менеджера UV. В рамках данной экосистемы можно анализировать манифесты типов pyproject.toml и uv.lock. Также в Johnny: - Добавлено поле Matched Criteria в отчеты алертов - Добавлено разрешение зависимостей через механизм pipdeptree - Добавлена поддержка механизма npm/pnpm workspaces Прочие улучшения - Реализован разбор компонентов экосистемы РЕД ОС; - Добавлена возможность копировать политики; - Фильтры TQI и SCA-проектов оптимизированы для быстрого поиска; - Переработано боковое меню – теперь его можно сворачивать, а структура стала компактнее и логичнее; - Улучшена производительность выгрузки PDF-отчетов и дополнено их содержание. Полный список изменений можно посмотреть на странице Changelog в документации.

🍁Две недели назад прошёл осенний вебинар от CodeScoring: достижения, достижимость, плагины для IDE, который привлёк большое внимание заказчиков, партнёров и коллег. Для тех, кто пропустил сам вебинар, мы выложили в открытый доступ запись вебинара: 📺 VK Video 📺 YouTube А так же, мы хотим поделиться презентацией вебинара, которую можно скачать по ссылке: 🔗Презентация Хотите демо? Заполните форму и с вами свяжутся, для согласования времени и даты. Оставайтесь с нами, следите за новостями! (мы уже готовим сюрприз под ёлочку🎄)

Мы уже в эфире. Присоединяйтесь https://my.mts-link.ru/j/CodeScoring/cs-autumn/stream-new/4883213276 💕

Обновления CodeScoring за февраль 2024 🚀 В этом месяце мы уделили больше внимания модулю TQI, а также реализовали несколько ожидаемых нововведений в работе с компонентами. Вот какие изменения произошли в CodeScoring: 1. Интегрирован фид уязвимостей из Банка данных угроз безопасности от ФСТЭК России. На данный момент эти уязвимости объединены с идентификаторами CVE, а поле BDU на странице уязвимости содержит ссылку на соответствующую запись в базе ФСТЭК. 2. Реализована cтраница для вывода информации о заблокированном в Nexus OSA компоненте. При попытке скачивания компонента, который не прошел проверку соответствия политикам, в консоли пользователя отображается ссылка на страницу данного компонента в CodeScoring. 3. Добавлено отображение статуса в истории SCA сканирований для проектов и образов. Статус имеет три возможных значения: success, failed или cancelled. 4. Добавлены новые метрики SCA на странице проекта. Теперь в начале страницы можно увидеть сводную информацию по истории сканирований, составу проекта и известным уязвимостям. 5. Добавлена таблица с коммитами на вкладке TQI страницы проекта. 6. Добавлено условие политики на поиск текстовой строки в PURL и соответствие PURL регулярному выражению. Это позволяет более гибко настроить политику на конкретный компонент. 7. Добавлена проверка на скрытые символы при вводе активационного ключа. 8. Реализован запуск анализа авторов и анализа клонов по одному проекту. Запуск доступен на вкладке TQI страницы проекта. 9. В Nexus OSA добавлено сообщение о блокировке для ситуаций, когда registry не добавлен в CodeScoring. 10. Изменена ориентация раздела Vulnerabilities в PDF отчете по проекту. 11. Уменьшен в два раза размер Docker-образа с консольным агентом johnny. 12. Оптимизирован механизм перерасчета политик. Теперь при изменении существующей политики или добавлении новой Policy Alerts будут появляться быстрее. Помимо этого, было проведено много важных исправлений в области подключения LDAP, работы с контейнерными образами и проведения анализа TQI. Полный список изменений можно увидеть на странице Changelog в документации.

Обновления CodeScoring за декабрь 2023 - январь 2024 🚀 За начало зимы мы расширили возможности добавления VCS, а также повысили удобство работы с проектами и добавили поддержку анализа новых языков программирования. Вот полный список свежих изменений: 1. Добавлена возможность экспортировать PDF-отчет с результатами сканирования проекта. Отчет содержит сводную информацию по найденным зависимостям и уязвимостям. 2. Добавлена поддержка анализа зависимостей Rust через манифесты Cargo.lock, Cargo.toml. 3. Добавлена поддержка анализа зависимостей Scala через манифесты scala-dependency-tree.txt, sbt-dependency-tree.txt. 4. Добавлена возможность клонирования репозитория через протокол SSH. 5. Добавлен новый тип VCS "Other Git", позволяющий добавлять альтернативные платформы, использующие Git, например AWS CodeCommit. 6. Добавлено отображение количества найденных уязвимостей в списке раздела Projects. 7. Добавлен поиск по “вложенным уязвимостям” в разделе Vulnerabilities. При наличии одинаковой уязвимости в нескольких фидах – поиск будет показывать связанные записи. 8. Добавлена настройка отображения ID проекта в разделе Projects. 9. Добавлены нулевые значения в Prometheus метрики OSA API. 10. Автоматическое проведение анализа после клонирования VCS проекта стало опциональным. 11. Добавлена информация про архитектуру сканируемых образов на странице Container Image. 12. Добавлен фильтр Group на странице проектов. 13. Добавлена поддержка спецификации CycloneDX 1.5 при импорте SBOM. 14. Добавлены новые статусы блокировки компонентов в CodeScoring OSA. Теперь при загрузке компонента можно увидеть точную причину блокировки, помимо несоответствия политикам безопасности. 15. Консольный агент johnny теперь умеет производить резолв зависимостей в окружении для Go, Maven, Gradle и Yarn. Помимо добавления новой функциональности, были исправлены недочеты и оптимизирована работа системы в следующих областях: 1. Улучшена производительность OSA. 2. Ускорена загрузка Complexity map в разделе Projects. 3. Исправлена ошибка при сортировке таблицы по полю CVSS3 Attack Complexity в разделе Vulnerabilities. 4. Исправлена некорректная работа OSA с пакетами, имеющими верхний регистр в версии.

CodeScoring на ТБФорум'24 В этом году CodeScoring выступает генеральным партнером конференции "Подходы и инструменты управления процессом безопасной разработки. От сертификации СЗИ к сертификации РБПО". На нашем стенде (E60) с 13 по 15 февраля вы сможете задать все интересующие вопросы, лично познакомиться с нашей, ставшей уже легендарной, службой Заботы и узнать о ближайших планах развития продукта. Планы и готовящиеся к выпуску киллер-фишки будут анонсированы в докладе "Эффективный композиционный анализ. Путь к успешному внедрению и упражнения на статику", который представит Алексей Смирнов 15 февраля. Программа основного дня докладов доступна на сайте конференции. 🗓 13-15 февраля 2023 📍 Крокус Конгресс Холл, Москва ✅ Участие бесплатное, но регистрация обязательна (для прохода): https://www.tbforum.ru/visit-/codescoring

Команда CodeScoring поздравляет вас с наступающим Новым годом! Благодарим наших заказчиков, партнеров и сообщество за веру в нас и наш продукт! Ваше доверие и обратная связь являются для нас важным стимулом в совершенствовании CodeScoring и всех его сопутствующих частей. Желаем всем побольше крутых проектов, надежного кода в конвейере и возможности быть на шаг впереди, а мы будем рядом. И чтобы графНовогоднее древо у вас вызывало только теплые чувства! С Наступающим! Урра!

Обновления CodeScoring за сентябрь-ноябрь 2023 🚀 В середине осени мы добавили важный функционал для многих наших клиентов – возможность работы с контейнерными образами на инсталляции. Помимо этого, в течение последних трех месяцев было уделено много внимания модулю OSA и оптимизации продукта. Вот какие изменения произошли в CodeScoring: 1. Добавлена возможность сканирования образов из hosted и proxy Docker репозиториев на базе Sonatype Nexus Repository и JFrog Artifactory. Подробнее о работе с Docker-образами можно прочесть в документации. 2. Большое обновление получили плагины OSA для прокси-репозиториев: появилась возможность блокировки скачивания образов из Docker репозиториев при несоответствии политикам безопасности и настраивать режимы работы плагина. 3. Консольный агент Johnny теперь выводит сводную информацию о степени критичности уязвимостей, имеет возможность настройки формата таблицы с результатами сканирования, а также лучше разбирает манифесты .gradle.kts. 4. Уменьшен размер поставляемых Docker-образов CodeScoring. 5. Добавлено фоновое обновление уязвимостей и фоновая работа политик для компонентов в OSA – теперь данные о загружаемом компоненте приходят быстрее. 6. Добавлен параметр Matched criteria в раздел Policy alerts. Параметр позволяет быстро узнать какое условие стало причиной срабатывания политики. 7. Добавлено новое условие политики – возраст уязвимости. 8. Добавлены метрики по количеству и времени запросов, а также статусу сканирования и блокировки компонента в CodeScoring OSA. 9. Дополнены метрики очередей на инсталляции – теперь можно отдельно посмотреть типы анализов в очереди. 10. Добавлено право пользователям с уровнем доступа User создавать CLI проекты через API. 11. Добавлено скрытие пароля и токена в настройках подключения к Jira. 12. Добавлена возможность указания спецсимволов в пароле для подключения к базе данных. 13. Добавлено сохранение фильтров между вкладками в разделе Policy alerts 14. Возвращено моментальное удаление Policy Alert из списка Active после создания правила игнорирования политики. 15. Ускорена работа анализа при большом количестве Policy ignores. 16. Исправлены различные недочеты и ошибки в системе: дубликаты уязвимостей в SBOM с разными затронутыми версиями, отображение игнорируемых политик в разделе Policy Ignores, наличие полей Source files и Parents на странице зависимости, открытие страницы просмотра Policy Ignore и отображение ошибки git 128 при работе с VCS.