29, октябрь 2015  —  Компания Solar Security выводит на рынок новый продукт, способный находить уязвимости в программном обеспечении - прежде всего онлайн и мобильных приложений, даже при отсутствии исходного кода.

Компания Solar Security – разработчик продуктов и сервисов для целевого мониторинга и оперативного управления информационной безопасностью – представляет новый отечественный инструмент проверки безопасности приложений Solar inCode , сочетающий в себе статические технологии анализа кода и научные подходы к реверс-инжинирнгу.

Solar inCode является инструментом статического анализа кода, предназначенным для выявления уязвимостей и недекларированных возможностей (НДВ) в программном обеспечении. Анализ приложений проводится методом «белого ящика» (*), даже при отсутствии исходного кода, что является основной отличительной чертой продукта. Для этого достаточно загрузить в сканер рабочие файлы приложений, а в случае мобильных приложений – просто скопировать в сканер ссылку из Apple Store или Google Play .

Технологии деобфускации и декомпиляции, реализованные в Solar inCode , позволяют восстанавливать исходный код с высокой степенью точности, даже если к нему были применены обфусцирующие (запутывающие) преобразования. Для повышения качества анализа кода используется четыре различные технологии, включая taint -анализ, а для снижения количества ложных срабатываний – технологический модуль Fuzzy Logic Engine с авторскими алгоритмами фильтрации уязвимостей.

«Можно сказать, что inCode – это продукт, в котором научная мысль нашла свое достойное техническое воплощение. В команде разработки три кандидата наук, двое из которых защитили свои диссертации по декомпиляции кода, поэтому заложенные в продукт технологии дают принципиально новый уровень его использования: как с точки зрения удобства, так и с точки зрения эффективности оценки защищенности приложений», – комментирует Даниил Чернов, руководитель направления inCode компании Solar Security .

Solar in Code создавался как инструмент для специалистов по безопасности, отсюда и особое внимание, которое было уделено системе отчетности. Основное его отличие заключается в том, что он выдает детальные рекомендации по настройке наложенных средств защиты (SIEM, WAF, NGFW ), блокирующих возможности эксплуатации уязвимостей до момента их устранений. Для разработчиков же предусмотрены отчеты с описанием выявленных уязвимостей со ссылками на соответствующие участки кода и рекомендации по их устранению путем внесения изменений в код, что существенно упрощает задачи разработки.

На данный момент Solar inCode позволяет анализировать онлайн и мобильные приложения, написанные на самых популярных языках: Java , Scala , PHP , Objective C , Java for Android . В планах по развитию продукта расширение списка анализируемых языков: JavaScript , PL / SQL ,1С и С#.

«За последнее время риски эксплуатации уязвимостей программного кода значительно выросли, – отмечает Игорь Ляпунов, генеральный директор Solar Security , – по нашим данным, которые содержат отчеты JSOC , более 60 % успешных кибератак, нацеленных на внешние бизнес-приложения, реализуются через уязвимости в ПО. При том, что тема безопасности приложений достаточно нова, большинство профессионалов в области безопасности понимают, что от качества кода стала напрямую зависеть защищенность информации, денег, а подчас и целых компаний».

Несмотря на то, что продукт не был представлен официально на рынке, его пользователями уже сейчас являются АКБ «Балтика», Банк «Образование», Яндекс.Деньги и компания «М Софт».

---------------------------------------------------------------------------------------------------------------------

Solar Security – это команда с двадцатилетним опытом разработки продуктов и собственная исследовательская лаборатория по анализу и прогнозированию инцидентов информационной безопасности. Продукты и сервисы компании позволяют выстроить вертикаль управления и мониторинга ИБ, начиная с низкоуровневых инцидентов и заканчивая системами стратегической аналитики и ситуационными центрами по информационной безопасности.

(*) Тестирование по стратегии «белого ящика» позволяет проверить внутреннюю структуру программы, при реализации данного метода тестировщик получает тестовые данные путем анализа логики работы программы.