CodeScoring Updates

Открытая конференция ИСП РАН 2023 В начале декабря в Москве пройдет конференция ISPRASOpen посвященная 75-летию отечественных информационных технологий при поддержке РАН, ФПИ, а также IEEE и IEEE Computer Society. Институт системного программирования известен своими технологиями и мощной экспертизой не только программной инженерии, но и исследованиях в области искусственного интеллекта и медицины. В этом году будут представлены доклады о технологиях анализа, моделирования и трансформации программ, управления данными и информационными системами, решении задач механики сплошных сред с использованием СПО, САПР микроэлектронной аппаратуры и лингвистические системы анализа. Состоится выставка технологий ИСП РАН и компаний-партнёров. Если вы хотели познакомиться поближе с решениями и их авторами, то обязательно нужно быть. Важной частью первого дня станет секция «Образование, технологии, сообщество: системный подход к безопасной разработке». Она объединит три тематических блока, которые будут посвящены формированию единой концепции обучения системному программированию, результатам совместной работы ИСП РАН и компаний-партнёров в Технологическом центре исследования безопасности ядра Linux и другим актуальным темам в области кибербезопасности. Команда CodeScoring примет участие в конференции в качестве гостей и участников SDL-секции, где будет проводиться три блока: - SDL и кадровый голод. Поиск решений - Технологические центры. Технологии и люди - За пределами SDL Завершение первого дня будет сопровождено традиционным заседанием виски-клуба SDL-сообщества. 🗓 4 и 5 декабря 2023 📍 Главное здание Российской академии наук Участие бесплатное, необходима регистрация. Сайт конференции: https://www.isprasopen.ru/

Kaspersky Open Source Software Threats Data Feed теперь в CodeScoring! Kaspersky Open Source Software Threats Data Feed поставляет уникальные данные, которых нет в публичных базах уязвимостей. Речь идет в том числе о компонентах с недекларируемыми возможностями, например, отображающими нежелательную информацию, обусловленную геополитикой, и пакетах, содержащих небезопасное ПО, такое как криптомайнеры или вредоносные инструменты. На текущий момент Kaspersky Open Source Software Threats Data Feed содержит информацию примерно о 42 тысячах уязвимостях в более чем 10 тысячах пакетов, и 11 тысячах вредоносных или содержащих потенциально опасные хакерские утилиты пакетов с открытым исходным кодом, которые размещены в популярных репозиториях. Интеграция с «Лабораторией Касперского» дает возможность получать больше информации об открытых пакетах и настраивать более эффективные политики безопасности. Подробнее об интеграции можно узнать на нашем сайте: https://codescoring.ru/tpost/1tony8n191-kaspersky-open-source-software-threats-d

Обновления CodeScoring за июль-август 2023 🚀 Разгар лета ознаменовался жаркой работой над функционалом консольного агента и улучшением опыта взаимодействия с результатами анализа. Вот что нового появилось в CodeScoring за это время: 1. Добавлена история результатов сканирования проектов в модуле SCA. Подробнее и с картинками в отдельной статье. 2. На странице проекта информация из модулей SCA и TQI разведена в отдельные вкладки. 3. Консольный агент johnny теперь выводит уязвимости и алерты в виде удобных таблиц. Детали о новой функциональности доступны в блоге CodeScoring. 4. Добавлены метрики состояния очередей и количества запущенных анализов. Теперь можно настроить мониторинг производительности инсталляции в Prometheus. 5. Добавлено отображение частей CVSS векторов в списке уязвимостей. 6. Добавлено новое условие политики "Vulnerability has fixed version". 7. Добавлено поле CWE в экспорт CSV-таблицы уязвимостей. 8. Добавлен баннер CodeScoring и логирование версии в консоль при запуске Docker-контейнера с инсталляцией. 9. Добавлена индикация активного процесса анализа в консольном агенте. Во время обработки результатов отображается время выполнения запроса. 10. Добавлен парсинг манифеста conanfile.py для Conan. 11. Унифицирована обработка слэша в конце строки для команды scan dir в консольном агенте. При отсутствии названия проекта в SBOM всегда выводится имя той директории, в которой находится манифест. 12. Добавлена информация по fixed version в таблице Affected dependencies. 13. Версия инсталляции перенесена из футера в боковое меню. 14. Улучшения в плагине для JFrog Artifactory Pro: ускорена работа плагина, добавлен флаг blockDownloads в properties, который позволяет контролировать загрузку пакета при наличии ошибок CodeScoring API или плагина, добавлен префикс CodeScoring ко всем логам. 15. Удалены устаревшие эндпоинты API. 16. Проведена работа над исправлением недочетов в системе: убрана возможность нажать кнопку Upload SBOM без наличия прикрепленного файла, исправлено несоответствие Swagger-схемы с API, а также panic при анализе некоторых Go проектов.

История результатов сканирования в CodeScoring Начиная с версии 2023.35.0, в СodeScoring доступна история результатов сканирования для модуля SCA. Теперь пользователи могут увидеть результаты композиционного анализа проекта за определенную дату и загрузить полученный ранее SBoM. История сканирования также полезна, чтобы узнать, какая версия проекта сканировалась и кто запускал анализ. Подробнее новый функционал описан в блоге СodeScoring.

Обновление консольного вывода агента CodeScoring Начиная с версии 2023.30.0, консольный агент CodeScoring выводит результат сканирования в виде таблиц вместо списков. Находить важную информацию и анализировать результаты стало проще и быстрее. Более подробно о новой функциональности можно прочитать в нашем блоге.

Новостные обновления Пока мы готовим очередные новости про важные обновления CodeScoring, анонсируем полезные материалы для наших подписчиков. 🔥 Сегодня вышел свежий номер журнала "Информационная безопасность" №3. Центральным событием выпуска стал спецпроект "Безопасная разработка" — большой круглый стол по вопросам практической информационной безопасности (стр. 37-55!). Помимо нас, в нем приняли участие представители 18 организаций, многие из которых хорошо знакомы SDL-сообществу и являются его активными участниками. В материале представлено много интересных мнений по актуальным вопросам которые вызывают наибольший резонанс у представителей как инженерного, так и бизнес-сообщества. 📖 Приятного прочтения! ———————————— ▶️ А ещё, пользуясь случаем, подсветим последние видео, вышедшие на канале CodeScoring: - Три этюда о защите цепочки поставки программного обеспечения - Мифы и факты о цепочке поставки программного обеспечения - Занимательные лицензии с Шелдоном Купером - Построить SBoM, вырастить SDL-политики, воспитать культуру безопасной разработки

Обновления CodeScoring за апрель-июнь 2023 🚀 Последние месяцы мы посвятили повышению удобства работы пользователя с проектами, а также улучшению качества продукта. 1. Добавлена поддержка системных пакетов для Firewall-плагина в NXRM. 2. Добавлен новый тип проектов без привязки к репозиторию — CLI. Данные проекты позволяют сохранять результаты сканирования от консольного агента в системе. 3. Добавлены рекомендации по устранению уязвимостей (fixed version). Версия компонента с исправленной уязвимостью доступна в разделе Vulnerabilities. 4. Добавлена группировка Policy alerts в дайджесты для уведомлений через email. Письмо с результатами сработавших политик отправляется по завершении сканирования проекта. 5. Добавлена возможность загрузки и скачивания SBOM проекта в формате CycloneDX. 6. Добавлена возможность принудительного обновления кода проекта. В разделе настроек проекта по кнопке Refresh code project можно принудительно обновить репозиторий внутри проекта. 7. Добавлена возможность подключения нескольких VCS с одним адресом, но разными токенами. Эта опция особенно важна для клиентов, которые не имеют возможности заводить одного служебного пользователя с доступом ко всем проектам в хостинге репозиториев. 8. Добавлена поддержка basic auth для интеграции с Jira. Для подключения таск-менеджера теперь достаточно ввести логин и пароль от учетной записи. 9. Добавлена возможность проведения анализа на CLI-проекте через интерфейс. 10. Добавлен поиск по названию политики и имени зависимости в разделе Policy alerts. 11. Добавлены новые условия политики - по наличию эксплойта уязвимости и частям CVSS-вектора. 12. Добавлен фильтр для поиска по названию политик в разделе Policies. 13. Добавлены новые возможности для консольного агента johnny: разбор системных пакетов в рамках сканирования docker-образов, создание проекта, сохранение результатов сканирования, поиск системных зависимостей в docker-образах, настройка глубины сканирования архивов. 14. Улучшен разбор манифестов gemfile, package-lock.json, conan.lock, yarn.lock. 15. Исправлены различные недочеты в системе: вывод списка лицензий на графике Distribution by license, экспорт зависимостей с пустым фильтром, появление дубликатов Policy alerts при большой нагрузке, скорость загрузки страниц Code Clones.

Консорциум по поддержке Технологического центра исследования безопасности ядра Linux И пока мы готовим очередные новости про важные обновления CodeScoring, спешим поделиться полезной информацией для наших технологических партнеров и заказчиков. В России учреждён Консорциум для совместных исследований безопасности ядра Linux. Для прохода по ссылке рекомендуется взять с собой сертификат Минцифры. Присоединиться к Консорциуму могут научно-образовательные организации, коммерческие компании, производственные центры – все, чья деятельность связана с исследованием безопасности ядра Linux, которое находится в основе большинства операционных систем и многих других программных продуктов. Организация Консорциума необходима для масштабирования работ, которые уже доказали свою востребованность, а это более 150 принятых патчей в апстрим ядра за прошедший год. Эффективное взаимодействие всех участников позволит внедрить принципы разработки безопасного ПО и исключить дублирование усилий по исследованию безопасности ядра Linux в российских компаниях.

Обновления за февраль-март 2023 🚀 Рассказываем, что нового появилось в продукте за последние два месяца работы 1. Добавлена визуализация графа зависимостей проекта. Открыть интерактивную визуализацию можно из списка зависимостей или на странице проекта. Подробнее о данной функциональности рассказано в нашей статье. 2. Реализован новый уровень доступа Auditor. Он позволяет пользователю просматривать все настройки и проекты в системе без возможности вносить и сохранять изменения. 3. Добавлена опция отключения поиска непосредственного включения библиотек во время проведения анализа на инсталляции. 4. Добавлен кэш ответов Index API для Firewall, что позволяет ускорить вторичные запросы данных о компонентах. 5. Запуск массового анализа всех проектов теперь логируется в Audit log. 6. Облегчена работа с API — для Swagger больше не требуется интернет. 7. Оптимизирована загрузка графика Distribution by license на Dashboard — теперь график загружается одновременно с другими визуализациями. 8. Добавлены поля Note в Policy ignore и Description в Policy. 9. Добавлена настройка для времени жизни сессии. По умолчанию сессия пользователя заканчивается через 2 недели с момента последней активности, после чего нужно произвести повторный вход в систему. 10. Получил обновление консольный агент johnny, среди изменений: сканирование docker-образов, поддержка команд при работе из терминала и улучшение разбора файлов Poetry-проектов. Помимо этого, была проведена важная работа по оптимизации продукта и устранению багов 📠