Будущее анализатора кода: разработчики интегрируют в SafeERP машинное обучение
В начале 2025 года, когда каждый день появляются новые приложения и миллионы строк кода, зарубежные аналитики обратили внимание на быстрые и безопасные методы разработки. На сцену выходит статическое тестирование безопасности приложений (SAST), которое играет важную роль в выявлении уязвимости в исходном коде приложения до его запуска. Однако традиционные SAST-системы страдают от ложнопозитивных срабатываний, снижающих эффективность и отнимающих время разработчиков. Исследователи подчёркивают растущую роль искусственного интеллекта (ИИ) в улучшении точности SAST, что позволит разработчикам сосредоточиться на реальных угрозах безопасности.
Именно поэтому «Газинформсервис» уже сейчас работает над внедрением машинного обучения (ML-кода) для SafeERP, многофункционального комплекса защиты бизнес-приложений (1С и SAP), чтобы повысить точность SAST и обеспечить безопасность ERP-систем без лишних проверок.
Эксперт компании «Газинформсервис», специалист по внедрению SafeERP Роман Шарапов, отмечает: «Ложные срабатывания в SAST-анализаторах случаются по разным причинам. Например, анализаторы могут не понимать контекст, в котором используется код, или работать только по жёстким правилам, которые не учитывают уникальность проекта. Также часто проблемы возникают из-за устаревших баз правил или особенностей библиотек, которые инструмент не распознаёт. Всё это приводит к тому, что безопасный код помечается как уязвимый».
При такого рода «багах» тратится много времени на проверку не уязвимого кода. Исправление ложнопозитивных уязвимостей может привести к реальным уязвимостям при недостаточной компетенции разработчиков. Большое количество ложнопозитивных срабатываний снижает доверие к инструменту, а также может привести к тому, что важные уязвимости просто пропустят. Как результат — дополнительные риски и затраты для команды.
Эксперт отмечает: внедрение ИИ в статический анализатор кода SafeERP — это большой шаг в развитии статического анализа кода. Это позволит ИИ устранить ложнопозитивные срабатывания в SAST-анализаторах за счёт следующих возможностей:
Учёт контекста кода: ИИ анализирует, как конкретный участок кода взаимодействует с другими элементами проекта, и исключает ситуации, где предполагаемая угроза не представляет реальной опасности.
Адаптация к проекту: на основе данных конкретного проекта, ИИ обучается понимать особенности его структуры, используемых библиотек и стиля кодирования, снижая количество ошибочных предупреждений.
Исторический анализ: ИИ обрабатывает данные о предыдущих ложнопозитивных срабатываниях и использует эту информацию для повышения точности дальнейших проверок.
Семантический анализ: технология позволяет ИИ глубже понимать смысл кода и контекст его использования, что помогает отличать реальные угрозы от ложных.
Кластеризация предупреждений: ИИ объединяет схожие уведомления в группы, выделяя ключевые проблемы и упрощая анализ для разработчиков.
Исследователь безопасности обнаружил критическую уязвимость в веб-приложении, которая позволила ему, имея учётную запись обычного пользователя, получить полный контроль над административной панелью. Эксплойт был основан на комбинации нескольких ошибок: отсутствии подтверждения email, слабом контроле доступа к административным функциям и возможности редактирования чужих профилей без повторной аутентификации.
Телефонные мошенники разработали новую схему обмана, нацеленную на детей, сдающих ЕГЭ и ОГЭ. Злоумышленники сообщают школьникам о якобы непройденной регистрации на образовательном сервисе и угрожают недопуском к экзаменам. Под предлогом решения проблемы они отправляют фишинговые ссылки, переходя по которым дети теряют деньги. Об этом сообщил ТАСС старший оперуполномоченный УБК МВД России Илья Елясов.
С сегодняшнего дня вступает в силу действие поправок в КоАП РФ об оборотных штрафах вследствие повторно допущенной утечки персональных данных из организации. В то же время Роскомнадзор опубликовал статистику российских инцидентов с утечками: в ведомстве зафиксировали 30 утечек данных. Общий объём скомпрометированных данных составил 38 млн строк.
Современные рекомендательные системы часто отстают от динамично меняющихся предпочтений пользователей. На «ТелеМультиМедиа Форуме 2025» Ирина Меженева, ведущий инженер-аналитик лаборатории топологического анализа данных и искусственного интеллекта аналитического центра кибербезопасности компании «Газинформсервис», рассказала об инновационном подходе к созданию рекомендательных систем, способных «понимать» пользователей и предсказывать их интересы.
23 мая на пресс-конференции в рамках международного киберфестиваля Positive Hack Days 2025 (PHDays 2025) компания «Газинформсервис» представила новую разработку в сфере кибербезопасности и рассказала об успехах своего центра мониторинга и реагирования GSOC, запущенного ровно год назад на этом же мероприятии. Николай Нашивочников, технический директор компании, остановился на ключевых достижениях GSOC и анонсировал новый продукт.
Эхтешам Уль Хак, аналитик по кибербезопасности из Пакистана, обнаружил уязвимость в веб-приложении, позволяющую обойти аутентификацию на основе одноразовых паролей (OTP), и заработал на этом $650. Михаил Спицын, киберэксперт лаборатории стратегического развития продуктов кибербезопасности компании «Газинформсервис», подчёркивает, что этот случай демонстрирует необходимость комплексной защиты, особенно при использовании OTP.
В российском корпоративном секторе после новости о возвращении операционной системы Windows ряд организаций принимает решение вернуться к привычной платформе. Как заключает киберэксперт, менеджер продукта «Блокхост-Сеть 4» компании «Газинформсервис» Константин Хитрово, это создаёт новые вызовы для обеспечения информационной безопасности.
