CodeScoring Updates

CodeScoring: плагины, интеграции, выступления!

🤝 Совместимость с Deckhouse
Мы подтвердили совместимость нашего продукта с Deckhouse Kubernetes Platform. Команды «Фланта» и CodeScoring оценили качество выполнения практик контроля безопасности Open Source и анализа секретов в коде. Надежная работа CodeScoring в кластерах DKP подтверждена, к использованию в продуктивной среде готовы! Детали на CISOCLUB

🔌 Интеграция с платформой «Сфера»
Команда CodeScoring разработала плагин для продукта «Сфера.Дистрибутивы и Лицензии» (платформа «Сфера», разработанная вендором НОТА, холдинг Т1). Плагин обеспечивает прямую интеграцию с модулем CodeScoring.OSA, не зависит от зарубежных систем и помогает выстроить безопасный процесс проверки сторонних компонентов. Читайте подробнее на CNews

🎤 Выступление на Stereo Data Ёлке
Алексей Смирнов на мероприятии в Петербурге подвел итоги 2025 года в open source, рассказал, какие уязвимости доставили больше всего проблем, и напомнил, как систематически с ними бороться. Смотрите запись доклада на VK Video
Дальше — больше!

🤖 Обновление CodeScoring 2026.3.0

В первом релизе 2026 года мы сосредоточились на ключевых улучшениях для разбора уязвимостей, новых возможностях анализа достижимости и повышении удобства работы с перечнем программных компонентов.

📄 Новая страница уязвимости

Визуальный интерфейс страницы стал удобнее и нагляднее.

Теперь на ней можно просматривать детальные данные из каждого источника, в котором была обнаружена уязвимость, сохраняя единый идентификатор и контекст.

Помимо этого, на странице появилось разделение затронутых компонентов на:
- зависимости из SCA-проектов;
- пакеты, проверенные модулем CodeScoring.OSA.

Это упрощает оценку рисков и помогает тонко настроить процессы, связанные с разбором уязвимостей.

🔗 Развитие анализа достижимости

В интерфейсе появилась страница с визуализацией пути до уязвимого метода. Она позволяет отследить цепочку вызовов, перейдя в новый раздел прямо из списка уязвимостей.

К списку поддерживаемых языков данного функционала добавился Kotlin.

🔎 SBOM и работа с зависимостями

В этом релизе мы провели масштабную работу над улучшением работы с перечнем программных компонентов:

- добавлена поддержка CycloneDX 1.7;
- добавлено поле GOST:provided_by для соответствия требованиям ФСТЭК России к перечню программных компонентов;
- оптимизирована скорость анализа зависимостей;
- реализована возможность указывать ветку или тег при импорте SBOM;
- реализовано получение списка доступных форматов SBOM через API;
- внедрена дополнительная проверка формата и версии загружаемого SBOM.

Эти изменения позволяют командам корректно управлять составом компонентов в соответствии с отечественными стандартами безопасной разработки.

⚙️ Использование списков при создании политик

Теперь при формировании правила внутри политики можно задать не единственное значение, а список нужных сущностей. Например, набор идентификаторов уязвимостей или компонентов.

Таким образом, политики становятся более гибкими и выразительными, а настройка правил – быстрее и удобнее для сложных сценариев контроля.

🌼 CodeScoring.TQI: аналитика и новые графики

Модуль CodeScoring.TQI получил новые графики и метрики для оценки активности авторов и динамики проектов. Теперь с его помощью можно:

- посчитать плотность и скорость изменения кода в проекте;
- увидеть общее влияние изменений на сводном графике.

Время подсчета метрик в проектах существенно сократилось за счет перехода на новый механизм разбора коммитов.

Также добавлена фильтрация по типу коммитов в списке коммитов, а визуализация проектов стала более информативной. Команды могут быстрее выявлять зоны риска и изучать динамику работы над проектами в ретроспективе.

📌Другие улучшения

- В консольном агенте Johnny добавлена поддержка пакетного менеджера bun, а также добавлены списки проигнорированных политик, локализация отчетов и параметры категории и группы проекта;
- Для находок в модуле Secrets добавлены поля “Энтропия” и “Координаты”.

Полный список изменений доступен на странице Changelog в документации.😁

🙌 Итоги 2025 года в CodeScoring

2025 стал для нас годом инноваций и укрепления позиций!

За это время мы:
- внедрили значительные улучшения в продукт
- расширили сеть сотрудничества
- активно участвовали в ключевых событиях отрасли

CodeScoring эволюционирует, чтобы точнее соответствовать актуальным задачам безопасной разработки и оставаться надежным партнёром для более чем 40 тысяч разработчиков в России.

Оглядываясь на прошедшие месяцы, мы рады поделиться основными успехами нашей команды и заглянуть в будущее.

🔗 Читайте полные итоги на нашем сайте.

Пусть 2026 принесёт гармонию в процессах, уверенность в коде и вдохновение для новых идей. С наступающим! 🎄

🍀 Новый сервис OSA Proxy

В модуле CodeScoring.OSA появился новый сервис – OSA Proxy. Он выступает посредником между пакетными менеджерами и их удалёнными репозиториями, автоматически проверяя пакеты и блокируя небезопасные версии в соответствии с политиками безопасности. Это позволяет внедрять модуль CodeScoring.OSA без привязки к хранилищам артефактов и гарантирует соблюдение требований безопасности при работе с внешними пакетными индексами.

OSA Proxy помогает централизованно контролировать загрузку компонентов с помощью политик безопасности, снижает риск попадания уязвимых версий в проекты и упрощает интеграцию с существующими процессами разработки. На данный момент сервис поддерживает Maven Central, NPM, PyPI, NuGet, Go Modules, Debian, а также альтернативные репозитории, совместимые с официальными спецификациями.

🌕 Прямая интеграция

OSA Proxy работает напрямую с индексами экосистем, что упрощает внедрение и сокращает время на настройку инфраструктуры. Команды получают возможность подключать сервис без необходимости изменять привычные рабочие процессы.

🌕 Контроль безопасности на лету

Каждый манифест и пакет проходят проверку на соответствие политикам безопасности. Уязвимые версии исключаются из манифестов, а загрузка небезопасных архивов блокируется ещё до попадания в проект. Это позволяет специалистам сосредоточиться на исправлении реальных угроз, не отвлекаясь на ручной контроль.

🌕 Управляемые ответы

OSA Proxy модифицирует ответы от сторонних репозиториев: удаляет запрещённые версии, перенаправляет ссылки и пересчитывает контрольные суммы, сохраняя корректность форматов. Благодаря этому внешние инструменты и пакетные менеджеры продолжают работать корректно, а проекты защищены от случайного использования уязвимых компонентов.

🌕 Гибкие режимы работы

Сервис поддерживает несколько режимов работы: от «наблюдателя» до строгой блокировки. Это позволяет адаптировать уровень контроля под требования конкретной команды, обеспечивая баланс между безопасностью и непрерывностью разработки.

🌕 Надёжная и масштабируемая архитектура

Асинхронная модель обработки и механизм автоматических повторов при временных ошибках обеспечивают стабильность даже при высоких нагрузках. Сервис спроектирован легко масштабируемым и рассчитан на высокую нагрузку, в соответствии с требованиями современной инфраструктуры.

OSA Proxy доступен всем пользователям модуля CodeScoring.OSA.

Подробнее о настройке и возможностях – в нашей открытой документации.

CodeScoring вновь на открытой конференции ИСП РАН!

🎉В этом году команда CodeScoring уже в третий раз участвует в качестве партнера открытой конференции Института системного программирования им. В.П. Иванникова.

Каждый год конференция растет и представляет насыщенную и интересную программу, где каждый может найти полезную информацию в своей деятельности: от технических аспектов последних научных разработок, до применения технологий в реальных задачах.

👀 От CodeScoring мы приготовили два выступления:

1. 09.12 в 15:20 В блоке технологических партнеров ИСП РАН мы расскажем о нашем успешном опыте применения технологий Института на практике и как не бояться научных организаций.

2. 10.12 в 17:30 В рамках дня безопасной разработки АРПП представим доклад "Большие обманы Open Source: обзор популярных атак на цепочку поставки", приходите послушать, чем запомнился уходящий год. Полная программа уже доступна.

На нашем стенде 9 и 10 декабря вы сможете лично познакомиться с руководителями продуктов и службой заботы, узнать о ближайших планах развития нашей платформы и пообщаться о перспективных сотрудничествах от технологий до коммерции.


🗓 9-10 декабря 2025
📍 Кластер «Ломоносов», Москва
✅ Регистрация до 6 декабря включительно

🚀 Обновление CodeScoring 2025.45.0: оценка новизны кода, поддержка Python и Go в анализе достижимости, группировка SCA-проектов, разбор манифестов UV и улучшенный граф зависимостей

В этом релизе мы сосредоточились на развитии аналитики в модуле CodeScoring.TQI, расширении списка поддерживаемых языков в анализе достижимости уязвимостей и улучшении инструментов по работе с результатами композиционного анализа.

Поддержка новых языков в анализе достижимости

В анализ достижимости добавлены языки Python и Go. Благодаря этому команды могут оценивать реальную эксплуатируемость уязвимостей и концентрироваться на тех, что действительно влияют на безопасность, снижая объём ручной проверки.

CodeScoring.TQI: новизна кода и улучшенная аналитика

В модуле CodeScoring.TQI появился расчёт новизны кода (code churn) – метрика, которая помогает отслеживать темп изменений в кодовой базе и выявлять потенциально нестабильные участки.

Также добавлены:

- метрики по коммитам и изменениям строк от авторов, которые теперь также визуализируются в профилях;
- новые фильтры и поля в списке проектов автора, включая фильтрацию по технологии.

Эти обновления предоставляют командам новые инструменты анализа и оценки качества и динамики разработки.

Новая группировка SCA-проектов

В интерфейсе платформы добавился новый раздел “Группы проектов” для модуля CodeScoring.SCA. В нём агрегируется информация по композиционному анализу всех проектов внутри группы – от расчета уникальных уязвимостей до единого списка алертов. 

Таким образом, стало проще управлять наборами репозиториев и отслеживать метрики безопасности на широком масштабе.

Улучшенный граф зависимостей

Реализация графа зависимостей была полностью переработана технически и существенно обновлена визуально. Теперь можно отфильтровать отображаемые связи между компонентами, отдельно работать с путями до корня проекта или дочерних связей, выбрать показ только уязвимых зависимостей или разделить граф на несколько частей по используемым технологиям. Помимо этого улучшена интерактивность графа и работа с масштабированием.

Johnny: поддержка нового пакетного менеджера UV

Агент Johnny теперь обрабатывает зависимости из пакетного менеджера UV. В рамках данной экосистемы можно анализировать манифесты типов pyproject.toml и uv.lock.

Также в Johnny:

- Добавлено поле Matched Criteria в отчеты алертов
- Добавлено разрешение зависимостей через механизм pipdeptree
- Добавлена поддержка механизма npm/pnpm workspaces

Прочие улучшения

- Реализован разбор компонентов экосистемы РЕД ОС;
- Добавлена возможность копировать политики;
- Фильтры TQI и SCA-проектов оптимизированы для быстрого поиска;
- Переработано боковое меню – теперь его можно сворачивать, а структура стала компактнее и логичнее;
- Улучшена производительность выгрузки PDF-отчетов и дополнено их содержание.

Полный список изменений можно посмотреть на странице Changelog в документации.

🍁Две недели назад прошёл осенний вебинар от CodeScoring: достижения, достижимость, плагины для IDE, который привлёк большое внимание заказчиков, партнёров и коллег.

Для тех, кто пропустил сам вебинар, мы выложили в открытый доступ запись вебинара:

📺 VK Video

📺 YouTube

А так же, мы хотим поделиться презентацией вебинара, которую можно скачать по ссылке:

🔗Презентация

Хотите демо? Заполните форму и с вами свяжутся, для согласования времени и даты.

Оставайтесь с нами, следите за новостями! (мы уже готовим сюрприз под ёлочку🎄)

Мы уже в эфире. Присоединяйтесь https://my.mts-link.ru/j/CodeScoring/cs-autumn/stream-new/4883213276 💕

Осенний вебинар от CodeScoring: достижения, достижимость, плагины для IDE!

CodeScoring продолжает демисезонную серию вебинаров с рассказом про крупные обновления платформы.

В этот раз мы расскажем про наши улучшения в работе композиционного анализа, которые помогают кратно повысить эффективность применения инструментов защиты цепочки поставки за счет технологических нововведений и расширения интеграции “влево”: анализ достижимости уязвимых методов и плагины для редакторов кода (IDE).

Вы сможете по душам пообщаться с нашей продуктовой командой, а мы будем рады ответить на удобные и неудобные вопросы.

📅Когда: 16 октября в 11:00
📌Регистрация: https://my.mts-link.ru/j/CodeScoring/cs-autumn
🌐Полное описание вебинара: https://codescoring.ru/blog/tpost/o2zce4jot1-osennii-vebinar-ot-codescoring-dostizhen

До встречи! Будем рады видеть вас и ваших коллег, которые пользуются CodeScoring или только слышали о нём.

#вебинар_cs

CodeScoring на Kazan Digital Week 2025

С 17 по 19 сентября в Казани в 6-й раз проходит Kazan Digital Week 2025. На Форуме собрались разработчики и пользователи цифровых технологий из многих стран, для того, чтобы обменяться знаниями, обсудить продвижение передовых решений и глобального партнерства в области искусственного интеллекта и кибербезопасности.

Эксперты платформы безопасной разработки CodeScoring представляют свой стенд на выставке, на котором можно подробнее познакомиться с решением. CodeScoring создает инструменты для защиты цепочки поставки, анализа Open Source на безопасность, поиска секретов в коде и оценки качества ПО. Стенд работает все три дня выставки.

Важным событием в рамках Форума станет проведение круглого стола «Безопасная и качественная разработка ПО. Культура, конвейер, технологическая независимость», в котором примут участие представители ФСТЭК России, ИСП РАН, НТЦ «Фобос-НТ», ИТ-экосистемы «Лукоморье», «Базис», CodeScoring и Test IT.

Эксперты раскроют такие темы как:
– отечественная инженерная культура как стратегический ресурс;
– качество, доверие и эффективность в разработке ПО;
– современные практики DevOps и DevSecOps в российских реалиях;
– безопасная разработка: часть процесса или набор мер?
– опыт создания и внедрения отечественных инструментов и конвейеров;
– прогноз развития технологий на 1, 3 и 5 лет;
– что сегодня можно предложить малому бизнесу, корпорациям и государству.

⏰Круглый стол пройдет в Kazan Expo 18 сентября в 14:00 в зале №4.

Будем рады видеть вас, поделиться нашими новостями и обсудить планы на будущее!

#CodeScoring #КонвейерРБПО #РБПОнаKDW

CodeScoring на Kazan Digital Week 2025

С 17 по 19 сентября в Казани открывает свои двери Kazan Digital Week 2025. На форуме соберутся разработчики и пользователи цифровых технологий из многих стран, для того, чтобы обменяться знаниями, обсудить продвижение передовых решений и глобального партнерства в области искусственного интеллекта и кибербезопасности. А так же планируется масштабная выставка, где участники форума представят свои решения.

CodeScoring работает на форуме все три дня и у нас большие планы:

📌мы едем со стендом, где можно будет больше узнать про нашу платформу, посмотреть её вживую и пообщаться с нашими экспертами.

📌Алексей Смирнов примет участие в круглом столе 18 сентября в 14:00 «Безопасная и качественная разработка ПО. Культура, конвейер, технологическая независимость», в котором также примут участие представители ФСТЭК России, ИСП РАН, НТЦ «Фобос-НТ», ИТ-экосистемы «Лукоморье», «Базис» и Test IT.

На круглом столе эксперты обсудят, как сформировать инженерную культуру, которая объединит качество, доверие и эффективность, а также обеспечит стратегическую устойчивость бизнеса и технологическую независимость страны.

🌟на форуме будет анонсирован проект, над которым работают несколько вендоров, но рассказать мы про него не можем, пока секрет.

Будем рады видеть вас, поделиться нашими новостями и обсудить планы на будущее!

🚀 Обновление CodeScoring 2025.37.0

Достижимость уязвимостей, формирование SBoM без участия инсталляции, поддержка SPDX и OIDC, а также новые возможности в TQI

В этом релизе мы сделали анализ уязвимостей глубже, усилили поддержку стандартов и расширили интеграции. Обновления также затронули политики безопасности и модуль TQI.

Определение достижимости уязвимостей

В платформе появилась одна из самых ожидаемых возможностей – анализ достижимости уязвимостей. С помощью агента Johnny теперь можно проверить использование уязвимых вызовов в подключаемых библиотеках. Эти данные помогают фильтровать находки и в первую очередь устранять уязвимости, представляющие наибольшую опасность.

Совместно с научно-техническим центром «Фобос-НТ» мы подготовили собственную базу знаний: в ходе экспертного исследования репозиториев для каждой уязвимости были выделены характерные вызовы, что позволило добиться высокой точности покрытия.

В основе анализа лежит построение графа вызовов, для чего используется модуль Svace Института системного программирования РАН, интегрированный в CodeScoring.

Результаты анализа достижимости доступны в отчётах Johnny и в интерфейсе CodeScoring. В политиках безопасности появился новый критерий для проверки достижимых уязвимостей. Подробнее можно прочитать в документации.

На данный момент поддерживается язык Java, а в ближайших релизах список языков будет расширен.

Формирование SBoM без участия инсталляции и другие улучшения Johnny

Агент Johnny теперь умеет формировать SBoM, не отправляя результаты на инсталляцию CodeScoring. Это позволяет осуществлять работу агента в изолированном контуре и получать итоговые отчеты локально.

Помимо этого формируемый SBoM стал точнее соответствовать рекомендациям ФСТЭК России – в нем появилось конфигурируемое на уровне проекта поле manufacturer. Большая работа проделана по улучшению качества ссылок на репозитории с исходным кодом библиотек.
Также, агент теперь поддерживает разбор новых форматов манифестов: deps.json и .sln для .NET.

OpenID Connect (OIDC)

Добавлена поддержка OIDC для аутентификации. Это упростит интеграцию с корпоративными системами единого входа, такими как Keycloak, и сделает процесс авторизации более безопасным.

Поддержка SPDX

CodeScoring теперь умеет выгружать SBoM в формате SPDX. Это расширяет совместимость с внешними инструментами и соответствует отечественным и международным практикам управления цепочкой поставок ПО.

Новые возможности в TQI

В модуле Teams & Quality Intelligence появились новые метрики и улучшения аналитики:
1. сравнение активности нескольких авторов на одном графике;
2. расчёт активности авторов с учётом релевантных месяцев, когда автор коммитил изменения;
3. метрика участия авторов в проектах.

Улучшения в политиках

Система политик стала ещё гибче:
1. добавлено условие для описания «глубины» транзитивности уязвимых зависимостей;
2. условия в выпадающих списках разделены на секции для удобства;
3. стало проще переносить правила внутри политик.

Кастомные шаблоны уведомлений и тикетов

При создании задач в Jira и email-уведомлений теперь можно использовать собственные шаблоны. Это позволяет адаптировать сообщения под формат конкретной команды или проекта.

Полный список изменений можно посмотреть на странице Changelog в документации.

Руссофт: CodeScoring — лидер роста!🔥

Уже несколько лет наша компания входит в ряды РУССОФТ, крупнейшей ассоциации участников-разработчиков программного обеспечения России, которая насчитывает почти 400 компаний.

На прошедшем ИТ-Форуме РУССОФТ 2025, генеральный директор и основатель CodeScoring Алексей Смирнов выступил с докладом про состояние безопасной разработки в эпоху активного применения ассистентов разработчика, а ещё…

🥁🥁🥁

на торжественной церемонии вручения Премии РУССОФТ мы получили награду как одна из самых быстрорастущих российских софтверных компаний в номинации «Лидеры роста — средний бизнес».

«Наша компания пришла в РУССОФТ в начале 2022 года, когда мы были раз в семь меньше, чем сегодня. За это время был проделан большой путь, на котором мы не планируем останавливаться и будем дальше развивать рынок безопасной разработки. Мы благодарим Ассоциацию за квалифицированную поддержку и душевное сообщество!» — Алексей Смирнов, основатель CodeScoring.

Тем временем, Ассоциации «стукнуло» 26 лет! Поздравляем! 🎉

🚀 Плагины CodeScoring для VS Code и JetBrains IDE

Сегодня наибольшая часть программного обеспечения создаётся в средах разработки — IDE. Они предлагают удобные редакторы кода, встроенные отладчики, интеграции с внешними системами вроде VCS, трекерами задач и другими. В общем, дают всё необходимое в одном приложении, чем значительно упрощают процесс разработки.

А для того, чтобы в IDE можно было проверять ещё и безопасность проектов, мы подготовили новый инструмент в рамках платформы CodeScoring — расширения для сред разработки Visual Studio Code и IDE от JetBrains.

Плагины позволяют анализировать зависимости проекта с помощью CodeScoring в IDE, делая процесс композиционного анализа доступнее и удобнее для разработчиков. Возможность поиска уязвимостей на этапе написания кода делает исправление проблем безопасности быстрее и проще, значительно сокращая время на “возвратах” со сборки.

На данный момент поддерживаются среды разработки Visual Studio Code версии 1.95.0 и выше и IntelliJ-based версии 2024.1 и выше. К последним относятся продукты JetBrains, такие как PyCharm, GoLand, WebStorm и другие.


⚡️ Анализ и генерация SBoM

В плагине используется консольный агент Johnny, который проводит полноценный анализ и генерацию SBoM-файлов для всех поддерживаемых в CodeScoring технологий. Полный список технологий можно посмотреть в документации. В формируемых SBoM-файлах содержится информация об используемых пакетах и их версиях. С помощью этих файлов можно отслеживать историю изменений в манифестах, а также сравнивать состав пакетов в разных версиях приложения.

⚡️ Работа с уязвимостями

Найденные уязвимости показываются прямо в окне текстового редактора при открытии файла манифеста. Кроме того, с уязвимостями можно работать в окне плагина, где доступны поиск и группировка по различным критериям.

⚡️ Политики безопасности

Теперь есть возможность проверить соответствие политикам безопасности, не уходя в конвейер сборки. В отчёте сканирования можно увидеть сработавшие политики безопасности с информацией об уязвимостях и заранее оценить возможность успешной сборки.

⚡️ Исправление уязвимостей “в один клик”

Плагин позволяет исправлять все найденные уязвимости в один клик. В этом случае обновятся все версии уязвимых пакетов в манифестах. Если какие-то файлы нужно исключить из массового исправления, их можно указать в специальном файле. Для точечных обновлений также можно применять исправление для каждого компонента отдельно через окно плагина или в окне редактирования текста.

⚡️ Отчёт

По окончании анализа создаётся файл отчёта в формате HTML, содержащий сводку по найденным пакетам, связанным с ними уязвимостям и лицензиям, а также нарушенным политикам.


Плагины для сред разработки помогают проверять безопасность приложения прямо во время написания кода в привычном интерфейсе. А исправлять проблемы безопасности можно сразу, не дожидаясь задачи от специалистов по безопасности или от клиентов.

Плагины доступны всем пользователям модуля CodeScoring.SCA, а для получения дистрибутива можно обратиться в нашу службу Заботы. Более подробное описание работы с плагинами доступно в документации.

🚀 Обновление CodeScoring 2025.29.0: просмотр сканов в истории, ручные действия с алертами, кастомизация экспортов, верификация и подпись SBoM

В этом релизе мы сосредоточились на расширении взаимодействия с алертами, кастомизации выгрузок и переходе на новую версию Index API. Также добавили несколько полезных обновлений в политиках безопасности и провели техническую оптимизацию системы.

Детальный просмотр истории сканирований

В истории сканирований теперь доступны подробности по каждому результату SCA-анализа. Можно увидеть полученный список компонентов, их уязвимости, а также граф зависимостей на момент проведения анализа.

Получение данных через новый Index API

Все модули платформы окончательно переведены на работу с новой версией Index API. Работа над переходом велась постепенно в течение года, помимо использования нового API изменилась часть архитектуры системы. Это внешне незаметное изменение позволило заметно ускорить получение данных и сократить время анализов. Также обновление позволит нам быстрее добавлять новые источники данных и внедрять новую функциональность.

Управление алертами и результатами анализа вручную

Теперь создавать задачи из алертов или отправлять письма ответственным можно не только автоматически, но и вручную – прямо из интерфейса. Это полезно, если нужно оперативно и гранулярно отреагировать на проблему и инициировать последующие действия.

Новый уровень доступа

Для пользователей, которым необходимо просматривать все разделы, связанные с безопасностью, но изменять только политики, теперь доступен уровень доступа Security Manager. Более подробно о правах этой роли можно прочесть в нашей документации.

Улучшения экспортов: кастомизация и новые данные

Экспорт PDF и SBoM стал настраиваемым: можно выбрать, какие поля попадут в отчёт, и отфильтровать, какие компоненты включать. Это даёт больше контроля при подготовке документов для разных аудиторий и внешних систем.

Дополнительно мы добавили полезные поля в результаты композиционного анализа:

1. В таблице зависимостей появилась колонка “Максимальная исправленная версия” – она помогает быстро понять, какую версию выбрать для устранения наибольшего числа уязвимостей;
2. В отчётах по алертам добавлено поле “Технология”, упрощающее сортировку и аналитику.

Новые условия и гибкость в политике безопасности

Система политик получила несколько точечных, но удобных обновлений:

1. Добавлено условие “Зависимость является потомком” – с его помощью можно фильтровать вложенные зависимости конкретного пакета. Это особенно полезно при анализе сложных проектов;
2. Реализована отложенная блокировка – она выражается количеством дней от первого срабатывания политики блокировки;
3. Игнор политик теперь можно назначать сразу на всю группу проектов – без необходимости задавать каждый по отдельности.

Johnny: подпись SBoM и улучшенная доступность

Johnny теперь поддерживает подпись и верификацию перечней программных компонентов. Это важно для соответствия требованиям безопасности и интеграции с внешними процессами поставки ПО. Помимо этого:

1. Добавлена выгрузка алертов в различных форматах;
2. Значительно улучшена работа с проектами Gradle: теперь можно работать с мультимодульными сборками и объединенным форматом зависимостей в build.gradle;
3. Агент теперь можно скачать прямо из инсталляции – без прямого доступа к реестру;
4. Появилась возможность передавать флаги пакетным менеджерам при разрешении зависимостей – это полезно, например, для фильтрации списка получаемых зависимостей;
5. Отчеты всех форматов теперь содержат больше информации: поля Relation, Parents, Match type и Env появились в CSV, информация о лицензиях – в текстовых и табличных отображениях, а выгрузка в sarif теперь содержит признак наличия публичных эксплойтов;
6. Улучшен анализ сборки С/С++ с использованием eBPF.

Полный список изменений можно посмотреть на странице Changelog в документации.

❤️Про безопасность кода и не только


Наш основатель Алексей Смирнов дал блиц-интервью Илье Шабанову в котором обновил проблематику работы с безопасностью кода и разработки приложений.

В интерью поговорили про:
- актуальные и новые риски которые несет безответственное использование открытого кода и ассистентов разработчика;

- про композиционный анализ и существующие стандарты в области этого вида анализа: российский и международные;

- про сдвиг влево и IDE-плагины от CodeScoring (ждите летом);

- про неопределенность инструментов класса API Security и про фаззинг;

- про населенность рынка безопасной разработки и тренды реального применения ИИ в инструментах анализа;

- про экспортный потенциал и чего не хватает рынку безопасной разработки сегодня.

📺 ВК Видео | 📺 YouTube | 📺RuTube

Отличных выходных!

PHDays Fest прошел, но записи остались

Наш май выдался насыщенным не только на релиз, но и на полезные доклады 👀.

✅ Развили тему полезных чисел и IDE-сдвига в докладе "Моделируем влияние проверок безопасности на разных этапах разработки" от Алексея Смирнова.
pdf | VK | RT | YT

✅ В докладе "Новый log4shell, о котором вам забыли
рассказать", Никита Бесперстов (в соучастии с Алексеем) всё же не забыл рассказать о найденной им high-уязвимости — BDU:2025-02344, которая прямо или косвенно затрагивает почти четверть Go-экосистемы 🎃.
pdf | VK | RT | YT

✅ Доступно рассказывать о сложном нужно уметь. В докладе "Атака на пакет с пакетами: уязвимости в цепочках поставок", Антон Володченко раскрывает особенности работы с открытым кодом простыми словами, не забыв про современные тренды с ИИ.
pdf | VK | RT | YT

✅ Иван Соломатин подсветил ключевые проблематики для бизнеса в докладе "На что обратить внимание при комплексном подходе к безопасной разработке. От кода до эксплуатации".
pdf | VK | RT | YT

Спасибо всем кто организовал и кто пришел и задавал коварные вопросы! 🙏

А в июне нас ещё можно встретить на ITSec с докладом про квалификаторы репозиториев и на GigaConf с докладом про безопасную разработку в эпоху GenAI.

До встречи!