Компания «Газинформсервис» представила квартальное обновление модульного программного комплекса SafeERP, предназначенного для комплексного мониторинга ERP-систем на платформах SAP и 1С и защиты бизнес-приложений. Релиз 4.9.12 расширил возможности контроля соответствия требованиям регуляторов, анализа кода и управления процессом устранения уязвимостей.
«В этом релизе мы сосредоточились на том, чтобы результаты проверок было проще использовать в повседневной работе. Для команд, работающих с 1С, это более удобный контроль безопасности и качества кода в процессе разработки и более наглядная оценка того, как меняется защищённость системы. Для заказчиков SAP — меньше ручной работы при оценке выполнения рекомендаций регулятора и больше возможностей заранее выявлять проблемы, способные повлиять на доступность бизнес-приложений.
Мы развиваем SafeERP не только как инструмент поиска уязвимостей: нам важно помогать командам поддерживать качество кода и управлять устранением выявленных недостатков. Обновлённые условия пилотирования дополняют эти изменения, делая переход от знакомства с продуктом к полноценному использованию более понятным».
Римма Кулешова, менеджер по продукту SafeERP компании «Газинформсервис»
Обновления для комплексной защиты SAP (Security Suite)
Продукт прошёл дополнительный анализ на соответствие рекомендациям ФСТЭК России по защите SAP: подтверждено покрытие 95% рассмотренных требований. В модуле появился отдельный профиль проверок соответствия рекомендациям регулятора. По сути, заказчики получают готовый инструмент для оценки защищённости SAP, что упрощает подготовку к проверкам и снижает трудозатраты на аудит.
В SAP Java добавлена возможность отслеживания сроков действия сертификатов. Новая функция позволяет планировать обновление сертификатов, предотвращая сбои защищённых соединений и простои бизнес-систем.
В анализе кода появились новые проверки категории «Удобство сопровождения» и категории «Безопасность».
Обновления для комплексной защиты 1С (Extension Module)
В части анализа кода появился источник типа «1С Хранилище»: теперь хранилище 1С можно подключать непосредственно в проектах анализа, расширяя возможности контроля безопасности и качества исходного кода.
Также появились 10 новых проверок безопасности и качества кода 1С. Кроме того, добавлен шаблон «Поиск HTTP-соединений» для создания собственных проверок, которые будут учитывать специфику инфраструктуры заказчика.
13 проверок 1С дополнены примерами кода без уязвимостей, что ускоряет устранение замечаний. Улучшены алгоритмы поиска явно заданных API-ключей и паролей, а для проверки одинаковых блоков кода снижено число ложноположительных срабатываний.
В части анализа платформы появился дифференцированный отчёт с возможностью сравнивать результаты сканирований и отслеживать динамику уязвимостей. Для управления процессом устранения добавлена настраиваемая выгрузка отчётов по выбранным уязвимостям.
Инструменты безопасной разработки (Extension Module +)
Возможностей анализа состава приложений (SCA) стало больше: добавлена поддержка манифестов зависимостей, SBOM-файлов в форматах SPDX и CycloneDX, архивов, Docker-образов и пакетов. Файлы разных типов можно загружать и анализировать в рамках одной итерации — это сокращает время подготовки и проведения анализа.
Новая проверка Dockerfile выявляет разрешения на редактирование файлов у пользователей без root-полномочий: такие настройки могут позволить злоумышленнику вмешиваться в работу приложений и создавать условия для повышения привилегий.
Помимо этого, продукт успешно прошёл ежеквартальную проверку совместимости с СУБД Jatoba и другими базами данных, операционными системами и Kaspersky Anti-Virus, а в Security Suite обновлены примечания SAP Notes.