CodeScoring Updates

CodeScoring june roadshow

В июне мы выступаем на трех мероприятиях, приходите! Будем рады оффлайн общению, вопросам и просто душевным историям.

🔥 18 июня. Митап ЦУПИС Intelligence
"Проблема транзитивных Open Source зависимостей"

🔥 20 июня. Kaspersky Certification Day
"Стандартизация работы со сторонними компонентами при разработке ПО"

🔥 27 июня. GigaConf 2024
"Безопасный Open Source: тренды и предпосылки новых трендов"

❗️Все участия бесплатные, но регистрация обязательна!

Открытые лекции в Бауманке!

27 мая, в рамках Школы фундаментальных технологий разработки безопасного ПО мы, совместно с Luntry, выступаем с открытыми лекциями.

Программа:
- 11:30—13:30, Алексей Смирнов, "Безопасное использование Open Source"
- 13:30—14:00, кофе-брейк
- 14:00—16:00, Дмитрий Евдокимов, "Безопасность инфраструктур под управлением оркестратора Kubernetes"

Компания Profiscope (да, это мы делаем CodeScoring) изначально поддерживает идеи открытого и доступного образования и обеспечивает учебные заведения не только образовательными лицензиями, но и профильными методическими материалами и живыми лекциями о современных технологиях и проблематиках безопасной разработки.

Приходите на лекцию, она открыта для всех желающих.

Регистрация для участия необходима.

Полная программа и все спикеры курса на сайте Школы.

23 мая в 12:00 выступаем в Лужниках с новым докладом в треке Secure development на PHDays Fest 2.

Полная программа доступна на сайте киберфестиваля. Приходите, будем рады встретить наших друзей, пользователей, партнеров и девиртуализироваться с коллегами по ту сторону “звонилки”.

Иванниковские чтения 2024

Команда CodeScoring приняла участие в Иванниковских чтениях, которые прошли в солнечном Новгороде в минувшую пятницу.

На конференции было много полезных и интересных докладов посвященных анализу и трансформации программ. Запись трансляции в наличии, а разметку таймингов и отдельные обзоры мы проведем у себя в канале Code Mining.

Помимо докладов были интересные мастер-классы и круглые столы. На столе по продкутизации технологий безопасной разработки выступил генеральный директор нашей компании Алексей Смирнов в качестве одного из модераторов. В широкой компании экспертов рынка обсудили боли пользователей инструментов и возможные подходы к исправлению возникающих ситуаций.

Мы благодарим ИСП РАН за душевную конференцию и обязательно приедем ещё!

Обновления CodeScoring за март-апрель 2024 🚀

В начале весны команда CodeScoring реализовала важный функционал — возможность просматривать в интерфейсе результаты сканирования компонентов через плагины OSA для Nexus Repository Manager и JFrog Artifactory. Это не единственное заметное изменение, вот полный список нововведений с марта по апрель 2024 года:

1. Новый раздел Components даёт доступ к спискам компонентов и запросов в репозиториях с плагином OSA. Теперь на инсталляции можно увидеть подробную информацию по всем пакетам и контейнерным образам, проходящим через плагин;

2. Добавлена возможность настройки нескольких LDAP интеграций, а также маппинг LDAP групп на внутренние группы CodeScoring. Инструкцию по настройке LDAP можно найти в документации;

3. Добавлен вывод поля Matched criteria на странице контейнерного образа и в таблицу Policy Alerts на странице проекта. Поле позволяет узнать подробную информацию о причине блокировки;

4. Добавлены ссылки на уязвимости и лицензии в поле Matched criteria в разделе Policy Alerts;

5. Добавлен фильтр Group в разделе Vulnerabilities;

6. Добавлено поле Vulnerabilities в CSV-отчет по проектам;

7. Добавлены колонки и фильтры Scan schedule, Excluded from analysis и Scan with hashes в разделы с проектами. Данная информация помогает лучше понимать контекст сканирования проекта из списка;

8. Добавлена информация о предыдущем уровне доступа пользователя в Audit Log.

9. Добавлена поддержка нестандартных портов для SSH при добавлении VCS;

10. Добавлен процент схожести между авторами в разделе Authors;

11. Добавлена возможность указывать тип OSA компонента, для которого будет применяться политика. Сейчас это может быть пакет или контейнерный образ;

12. Добавлен поиск в условие политики по полю Technology. Теперь не нужно вводить значение технологии вручную при создании политики;

13. Добавлена метрика для просмотра занятых соединений c базой данных;

14. Оптимизирован запуск анализа и выгрузка SBoM CLI проекта.

Помимо этого, были проведены исправления в области выгрузки отчетов, обновления информации об уязвимостях и вычисления политик для проектов. Полный список изменений можно увидеть на странице Changelog в документации.

Плагин CodeScoring для Jenkins

Начиная с версии 2024.13.0, пользователям CodeScoring доступен плагин с консольным агентом Johnny для CI/CD системы Jenkins. Плагин позволяет взаимодействовать с настройками агента непосредственно через интерфейс Jenkins и выполнять его оркестрацию.

Более подробно о новом функционале можно узнать в нашем блоге.

Обновления CodeScoring за февраль 2024 🚀

В этом месяце мы уделили больше внимания модулю TQI, а также реализовали несколько ожидаемых нововведений в работе с компонентами. Вот какие изменения произошли в CodeScoring:

1. Интегрирован фид уязвимостей из Банка данных угроз безопасности от ФСТЭК России. На данный момент эти уязвимости объединены с идентификаторами CVE, а поле BDU на странице уязвимости содержит ссылку на соответствующую запись в базе ФСТЭК.

2. Реализована cтраница для вывода информации о заблокированном в Nexus OSA компоненте. При попытке скачивания компонента, который не прошел проверку соответствия политикам, в консоли пользователя отображается ссылка на страницу данного компонента в CodeScoring.

3. Добавлено отображение статуса в истории SCA сканирований для проектов и образов. Статус имеет три возможных значения: success, failed или cancelled.

4. Добавлены новые метрики SCA на странице проекта. Теперь в начале страницы можно увидеть сводную информацию по истории сканирований, составу проекта и известным уязвимостям.

5. Добавлена таблица с коммитами на вкладке TQI страницы проекта.

6. Добавлено условие политики на поиск текстовой строки в PURL и соответствие PURL регулярному выражению. Это позволяет более гибко настроить политику на конкретный компонент.

7. Добавлена проверка на скрытые символы при вводе активационного ключа.

8. Реализован запуск анализа авторов и анализа клонов по одному проекту. Запуск доступен на вкладке TQI страницы проекта.

9. В Nexus OSA добавлено сообщение о блокировке для ситуаций, когда registry не добавлен в CodeScoring.

10. Изменена ориентация раздела Vulnerabilities в PDF отчете по проекту.

11. Уменьшен в два раза размер Docker-образа с консольным агентом johnny.

12. Оптимизирован механизм перерасчета политик. Теперь при изменении существующей политики или добавлении новой Policy Alerts будут появляться быстрее.

Помимо этого, было проведено много важных исправлений в области подключения LDAP, работы с контейнерными образами и проведения анализа TQI. Полный список изменений можно увидеть на странице Changelog в документации.

Обновления CodeScoring за декабрь 2023 - январь 2024 🚀

За начало зимы мы расширили возможности добавления VCS, а также повысили удобство работы с проектами и добавили поддержку анализа новых языков программирования. Вот полный список свежих изменений:

1. Добавлена возможность экспортировать PDF-отчет с результатами сканирования проекта. Отчет содержит сводную информацию по найденным зависимостям и уязвимостям.

2. Добавлена поддержка анализа зависимостей Rust через манифесты Cargo.lock, Cargo.toml.

3. Добавлена поддержка анализа зависимостей Scala через манифесты scala-dependency-tree.txt, sbt-dependency-tree.txt.

4. Добавлена возможность клонирования репозитория через протокол SSH.

5. Добавлен новый тип VCS "Other Git", позволяющий добавлять альтернативные платформы, использующие Git, например AWS CodeCommit.

6. Добавлено отображение количества найденных уязвимостей в списке раздела Projects.

7. Добавлен поиск по “вложенным уязвимостям” в разделе Vulnerabilities. При наличии одинаковой уязвимости в нескольких фидах – поиск будет показывать связанные записи.

8. Добавлена настройка отображения ID проекта в разделе Projects.

9. Добавлены нулевые значения в Prometheus метрики OSA API.

10. Автоматическое проведение анализа после клонирования VCS проекта стало опциональным.

11. Добавлена информация про архитектуру сканируемых образов на странице Container Image.

12. Добавлен фильтр Group на странице проектов.

13. Добавлена поддержка спецификации CycloneDX 1.5 при импорте SBOM.

14. Добавлены новые статусы блокировки компонентов в CodeScoring OSA. Теперь при загрузке компонента можно увидеть точную причину блокировки, помимо несоответствия политикам безопасности.

15. Консольный агент johnny теперь умеет производить резолв зависимостей в окружении для Go, Maven, Gradle и Yarn.

Помимо добавления новой функциональности, были исправлены недочеты и оптимизирована работа системы в следующих областях:

1. Улучшена производительность OSA.

2. Ускорена загрузка Complexity map в разделе Projects.

3. Исправлена ошибка при сортировке таблицы по полю CVSS3 Attack Complexity в разделе Vulnerabilities.

4. Исправлена некорректная работа OSA с пакетами, имеющими верхний регистр в версии.

CodeScoring на ТБФорум'24

В этом году CodeScoring выступает генеральным партнером конференции "Подходы и инструменты управления процессом безопасной разработки. От сертификации СЗИ к сертификации РБПО".

На нашем стенде (E60) с 13 по 15 февраля вы сможете задать все интересующие вопросы, лично познакомиться с нашей, ставшей уже легендарной, службой Заботы и узнать о ближайших планах развития продукта.

Планы и готовящиеся к выпуску киллер-фишки будут анонсированы в докладе "Эффективный композиционный анализ. Путь к успешному внедрению и упражнения на статику", который представит Алексей Смирнов 15 февраля.

Программа основного дня докладов доступна на сайте конференции.


🗓 13-15 февраля 2023
📍 Крокус Конгресс Холл, Москва

✅ Участие бесплатное, но регистрация обязательна (для прохода): https://www.tbforum.ru/visit-/codescoring

#ТБФорум

Команда CodeScoring поздравляет вас с наступающим Новым годом!

Благодарим наших заказчиков, партнеров и сообщество за веру в нас и наш продукт!

Ваше доверие и обратная связь являются для нас важным стимулом в совершенствовании CodeScoring и всех его сопутствующих частей.

Желаем всем побольше крутых проектов, надежного кода в конвейере и возможности быть на шаг впереди, а мы будем рядом.

И чтобы графНовогоднее древо у вас вызывало только теплые чувства!

С Наступающим! Урра!

Обновления CodeScoring за сентябрь-ноябрь 2023 🚀

В середине осени мы добавили важный функционал для многих наших клиентов – возможность работы с контейнерными образами на инсталляции. Помимо этого, в течение последних трех месяцев было уделено много внимания модулю OSA и оптимизации продукта. Вот какие изменения произошли в CodeScoring:

1. Добавлена возможность сканирования образов из hosted и proxy Docker репозиториев на базе Sonatype Nexus Repository и JFrog Artifactory. Подробнее о работе с Docker-образами можно прочесть в документации.

2. Большое обновление получили плагины OSA для прокси-репозиториев: появилась возможность блокировки скачивания образов из Docker репозиториев при несоответствии политикам безопасности и настраивать режимы работы плагина.

3. Консольный агент Johnny теперь выводит сводную информацию о степени критичности уязвимостей, имеет возможность настройки формата таблицы с результатами сканирования, а также лучше разбирает манифесты .gradle.kts.

4. Уменьшен размер поставляемых Docker-образов CodeScoring.

5. Добавлено фоновое обновление уязвимостей и фоновая работа политик для компонентов в OSA – теперь данные о загружаемом компоненте приходят быстрее.

6. Добавлен параметр Matched criteria в раздел Policy alerts. Параметр позволяет быстро узнать какое условие стало причиной срабатывания политики.

7. Добавлено новое условие политики – возраст уязвимости.

8. Добавлены метрики по количеству и времени запросов, а также статусу сканирования и блокировки компонента в CodeScoring OSA.

9. Дополнены метрики очередей на инсталляции – теперь можно отдельно посмотреть типы анализов в очереди.

10. Добавлено право пользователям с уровнем доступа User создавать CLI проекты через API.

11. Добавлено скрытие пароля и токена в настройках подключения к Jira.

12. Добавлена возможность указания спецсимволов в пароле для подключения к базе данных.

13. Добавлено сохранение фильтров между вкладками в разделе Policy alerts

14. Возвращено моментальное удаление Policy Alert из списка Active после создания правила игнорирования политики.

15. Ускорена работа анализа при большом количестве Policy ignores.

16. Исправлены различные недочеты и ошибки в системе: дубликаты уязвимостей в SBOM с разными затронутыми версиями, отображение игнорируемых политик в разделе Policy Ignores, наличие полей Source files и Parents на странице зависимости, открытие страницы просмотра Policy Ignore и отображение ошибки git 128 при работе с VCS.

Открытая конференция ИСП РАН 2023

В начале декабря в Москве пройдет конференция ISPRASOpen посвященная 75-летию отечественных информационных технологий при поддержке РАН, ФПИ, а также IEEE и IEEE Computer Society.

Институт системного программирования известен своими технологиями и мощной экспертизой не только программной инженерии, но и исследованиях в области искусственного интеллекта и медицины.

В этом году будут представлены доклады о технологиях анализа, моделирования и трансформации программ, управления данными и информационными системами, решении задач механики сплошных сред с использованием СПО, САПР микроэлектронной аппаратуры и лингвистические системы анализа.

Состоится выставка технологий ИСП РАН и компаний-партнёров. Если вы хотели познакомиться поближе с решениями и их авторами, то обязательно нужно быть.

Важной частью первого дня станет секция «Образование, технологии, сообщество: системный подход к безопасной разработке». Она объединит три тематических блока, которые будут посвящены формированию единой концепции обучения системному программированию, результатам совместной работы ИСП РАН и компаний-партнёров в Технологическом центре исследования безопасности ядра Linux и другим актуальным темам в области кибербезопасности.

Команда CodeScoring примет участие в конференции в качестве гостей и участников SDL-секции, где будет проводиться три блока:
- SDL и кадровый голод. Поиск решений
- Технологические центры. Технологии и люди
- За пределами SDL

Завершение первого дня будет сопровождено традиционным заседанием виски-клуба SDL-сообщества.

🗓 4 и 5 декабря 2023
📍 Главное здание Российской академии наук

Участие бесплатное, необходима регистрация.
Сайт конференции: https://www.isprasopen.ru/

Kaspersky Open Source Software Threats Data Feed теперь в CodeScoring!

Kaspersky Open Source Software Threats Data Feed поставляет уникальные данные, которых нет в публичных базах уязвимостей. Речь идет в том числе о компонентах с недекларируемыми возможностями, например, отображающими нежелательную информацию, обусловленную геополитикой, и пакетах, содержащих небезопасное ПО, такое как криптомайнеры или вредоносные инструменты. На текущий момент Kaspersky Open Source Software Threats Data Feed содержит информацию примерно о 42 тысячах уязвимостях в более чем 10 тысячах пакетов, и 11 тысячах вредоносных или содержащих потенциально опасные хакерские утилиты пакетов с открытым исходным кодом, которые размещены в популярных репозиториях.

Интеграция с «Лабораторией Касперского» дает возможность получать больше информации об открытых пакетах и настраивать более эффективные политики безопасности.

Подробнее об интеграции можно узнать на нашем сайте: https://codescoring.ru/tpost/1tony8n191-kaspersky-open-source-software-threats-d

Обновления CodeScoring за июль-август 2023 🚀

Разгар лета ознаменовался жаркой работой над функционалом консольного агента и улучшением опыта взаимодействия с результатами анализа. Вот что нового появилось в CodeScoring за это время:

1. Добавлена история результатов сканирования проектов в модуле SCA. Подробнее и с картинками в отдельной статье.

2. На странице проекта информация из модулей SCA и TQI разведена в отдельные вкладки.

3. Консольный агент johnny теперь выводит уязвимости и алерты в виде удобных таблиц. Детали о новой функциональности доступны в блоге CodeScoring.

4. Добавлены метрики состояния очередей и количества запущенных анализов. Теперь можно настроить мониторинг производительности инсталляции в Prometheus.

5. Добавлено отображение частей CVSS векторов в списке уязвимостей.

6. Добавлено новое условие политики "Vulnerability has fixed version".

7. Добавлено поле CWE в экспорт CSV-таблицы уязвимостей.

8. Добавлен баннер CodeScoring и логирование версии в консоль при запуске Docker-контейнера с инсталляцией.

9. Добавлена индикация активного процесса анализа в консольном агенте. Во время обработки результатов отображается время выполнения запроса.

10. Добавлен парсинг манифеста conanfile.py для Conan.

11. Унифицирована обработка слэша в конце строки для команды scan dir в консольном агенте. При отсутствии названия проекта в SBOM всегда выводится имя той директории, в которой находится манифест.

12. Добавлена информация по fixed version в таблице Affected dependencies.

13. Версия инсталляции перенесена из футера в боковое меню.

14. Улучшения в плагине для JFrog Artifactory Pro: ускорена работа плагина, добавлен флаг blockDownloads в properties, который позволяет контролировать загрузку пакета при наличии ошибок CodeScoring API или плагина, добавлен префикс CodeScoring ко всем логам.

15. Удалены устаревшие эндпоинты API.

16. Проведена работа над исправлением недочетов в системе: убрана возможность нажать кнопку Upload SBOM без наличия прикрепленного файла, исправлено несоответствие Swagger-схемы с API, а также panic при анализе некоторых Go проектов.

История результатов сканирования в CodeScoring

Начиная с версии 2023.35.0, в СodeScoring доступна история результатов сканирования для модуля SCA. Теперь пользователи могут увидеть результаты композиционного анализа проекта за определенную дату и загрузить полученный ранее SBoM. История сканирования также полезна, чтобы узнать, какая версия проекта сканировалась и кто запускал анализ.

Подробнее новый функционал описан в блоге СodeScoring.