Принцип работы Solar appScreener

Технология статического анализа исходного кода

Статический анализ исходного кода с помощью Solar appScreener включает в себя лексический, синтаксический, семантический анализы, taint-анализ, распространение констант, распространение типов, анализ синонимов и анализ графов потока управления.

Solar appScreener является единственным в мире анализатором с поддержкой кода, написанного на 36 языках программирования: ABAP, Apex, ASP.NET, COBOL, С#, C/C++, Objective-C, Delphi, Go, Groovy, HTML5, Java, Java for Android, JavaScript, JSP, Kotlin, Pascal, Perl, PHP, PL/SQL, T/SQL, Python, Ruby, Rust, Scala, Solidity, Swift, TypeScript, VBA, VB.NET, VBScript, Visual Basic 6.0, Vyper, 1C, LotusScript, Dart.

Также возможна загрузка проектов в архивах форматов: 7Z, EAR, AAR, RAR, TAR.BZ2, TAR.GZ, TAR, CPIO.

Технология анализа бинарного кода

Статический анализ исполняемых файлов осуществляется с применением запатентованной технологии реверс-инжиниринга (декомпиляции). Она позволяет с высокой точностью восстанавливать исходный код из исполняемых файлов, даже если его пытались обфусцировать, то есть запутать.

Solar appScreener легко определяет язык приложения и без труда понимает программы-полиглоты, написанные на нескольких языках. Решение также умеет анализировать мобильные приложения для Google Android и Apple iOS – для этого достаточно указать ссылку на соответствующий магазин приложений*.

Технологии анализа исполняемых файлов позволяют применять SAST, даже когда разработка закончена и нет возможности проанализировать исходный код проекта. Кроме того, можно исследовать код сторонних компонентов, использованных при создании приложения (например, код свободно распространяемых библиотек).

Поддерживаемые форматы исполняемых файлов:

• JAR/WAR (Java)
• DLL/EXE (C/C++)
• APK (Android)
• IPA (Apple iOS)
• APP (Apple macOS)
• AAR
• EAR
• AAB (Android)

* Для декомпиляции стороннего кода необходимо получить согласие правообладателя этого кода. Если это невозможно, то модуль декомпиляции придется отключить.

Технология динамического анализа кода

Модуль динамического анализа входит в решение Solar appScreener и реализован на основе встроенного сканера, с помощью которого можно провести анализ веб-приложения, отправив заведомо неверные или случайные данные и проверив реакцию приложения на них.

Для удобства управления сканированиями и получения результатов проекты динамического анализа можно привязать к проектам статического анализа и на основе корреляции их результатов получить более полную картину безопасности приложения.

Технология анализа состава ПО

В Solar appScreener реализован модуль анализа состава ПО, который позволяет вовремя выявлять уязвимые компоненты и зависимости в open-source-библиотеках, тем самым предотвращает использование этих компонентов в коде разрабатываемых сервисов и значительно снижает риски информационной безопасности для компании.

Анализ кода проводится на основе нескольких источников – стандартных баз уязвимостей, дополненных собственной базой от экспертов Solar appScreener, что обеспечивает более полное покрытие анализа.

SCA дополняет другие модули и делает возможным полный цикл контроля безопасности ПО с помощью Solar appScreener без использования других решений и сервисов для анализа кода.

Технология анализа цепочки поставок ПО

Solar appScreener обогащен технологией Supply Chain Security, которая оценивает потенциальные риски ИБ, связанные с open-source-компонентами, и анализирует их на всем пути, по которому ПО попадает в компанию – от создания компонентов / покупки обновлений до их использования.

Оценка рисков формируется на основе восьми конкретных метрик: репутация автора, активность сообщества, внимание к безопасности и др.

Технология анализа состава ПО в сочетании с Supply Chain Security и возможностью оценки лицензионных рисков обеспечивает всесторонний контроль безопасности open source в вашем коде с помощью одного решения.

Технология Fuzzy Logic Engine

Для минимизации количества ложных срабатываний и пропусков уязвимостей и НДВ в коде в Solar appScreener реализована уникальная технология Fuzzy Logic Engine.

Технология использует математический аппарат нечеткой логики и является инновационным ноу-хау компании «Ростелеком-Солар». Параметры работы фильтров Fuzzy Logic Engine определяются базой знаний, которая постоянно пополняется по результатам проведенных проектов.

Количество ложных срабатываний и пропусков уязвимостей - одна из ключевых характеристик анализатора кода, поэтому развитие и совершенствование Fuzzy Logic Engine является важным приоритетом Solar appScreener.