🚀 Обновление CodeScoring 2025.29.0: просмотр сканов в истории, ручные действия с алертами, кастомизация экспортов, верификация и подпись SBoM

В этом релизе мы сосредоточились на расширении взаимодействия с алертами, кастомизации выгрузок и переходе на новую версию Index API. Также добавили несколько полезных обновлений в политиках безопасности и провели техническую оптимизацию системы.

Детальный просмотр истории сканирований

В истории сканирований теперь доступны подробности по каждому результату SCA-анализа. Можно увидеть полученный список компонентов, их уязвимости, а также граф зависимостей на момент проведения анализа.

Получение данных через новый Index API

Все модули платформы окончательно переведены на работу с новой версией Index API. Работа над переходом велась постепенно в течение года, помимо использования нового API изменилась часть архитектуры системы. Это внешне незаметное изменение позволило заметно ускорить получение данных и сократить время анализов. Также обновление позволит нам быстрее добавлять новые источники данных и внедрять новую функциональность.

Управление алертами и результатами анализа вручную

Теперь создавать задачи из алертов или отправлять письма ответственным можно не только автоматически, но и вручную – прямо из интерфейса. Это полезно, если нужно оперативно и гранулярно отреагировать на проблему и инициировать последующие действия.

Новый уровень доступа

Для пользователей, которым необходимо просматривать все разделы, связанные с безопасностью, но изменять только политики, теперь доступен уровень доступа Security Manager. Более подробно о правах этой роли можно прочесть в нашей документации.

Улучшения экспортов: кастомизация и новые данные

Экспорт PDF и SBoM стал настраиваемым: можно выбрать, какие поля попадут в отчёт, и отфильтровать, какие компоненты включать. Это даёт больше контроля при подготовке документов для разных аудиторий и внешних систем.

Дополнительно мы добавили полезные поля в результаты композиционного анализа:

1. В таблице зависимостей появилась колонка “Максимальная исправленная версия” – она помогает быстро понять, какую версию выбрать для устранения наибольшего числа уязвимостей;
2. В отчётах по алертам добавлено поле “Технология”, упрощающее сортировку и аналитику.

Новые условия и гибкость в политике безопасности

Система политик получила несколько точечных, но удобных обновлений:

1. Добавлено условие “Зависимость является потомком” – с его помощью можно фильтровать вложенные зависимости конкретного пакета. Это особенно полезно при анализе сложных проектов;
2. Реализована отложенная блокировка – она выражается количеством дней от первого срабатывания политики блокировки;
3. Игнор политик теперь можно назначать сразу на всю группу проектов – без необходимости задавать каждый по отдельности.

Johnny: подпись SBoM и улучшенная доступность

Johnny теперь поддерживает подпись и верификацию перечней программных компонентов. Это важно для соответствия требованиям безопасности и интеграции с внешними процессами поставки ПО. Помимо этого:

1. Добавлена выгрузка алертов в различных форматах;
2. Значительно улучшена работа с проектами Gradle: теперь можно работать с мультимодульными сборками и объединенным форматом зависимостей в build.gradle;
3. Агент теперь можно скачать прямо из инсталляции – без прямого доступа к реестру;
4. Появилась возможность передавать флаги пакетным менеджерам при разрешении зависимостей – это полезно, например, для фильтрации списка получаемых зависимостей;
5. Отчеты всех форматов теперь содержат больше информации: поля Relation, Parents, Match type и Env появились в CSV, информация о лицензиях – в текстовых и табличных отображениях, а выгрузка в sarif теперь содержит признак наличия публичных эксплойтов;
6. Улучшен анализ сборки С/С++ с использованием eBPF.

Полный список изменений можно посмотреть на странице Changelog в документации.

🚀 Плагины CodeScoring для VS Code и JetBrains IDE

Сегодня наибольшая часть программного обеспечения создаётся в средах разработки — IDE. Они предлагают удобные редакторы кода, встроенные отладчики, интеграции с внешними системами вроде VCS, трекерами задач и другими. В общем, дают всё необходимое в одном приложении, чем значительно упрощают процесс разработки.

А для того, чтобы в IDE можно было проверять ещё и безопасность проектов, мы подготовили новый инструмент в рамках платформы CodeScoring — расширения для сред разработки Visual Studio Code и IDE от JetBrains.

Плагины позволяют анализировать зависимости проекта с помощью CodeScoring в IDE, делая процесс композиционного анализа доступнее и удобнее для разработчиков. Возможность поиска уязвимостей на этапе написания кода делает исправление проблем безопасности быстрее и проще, значительно сокращая время на “возвратах” со сборки.

На данный момент поддерживаются среды разработки Visual Studio Code версии 1.95.0 и выше и IntelliJ-based версии 2024.1 и выше. К последним относятся продукты JetBrains, такие как PyCharm, GoLand, WebStorm и другие.


⚡️ Анализ и генерация SBoM

В плагине используется консольный агент Johnny, который проводит полноценный анализ и генерацию SBoM-файлов для всех поддерживаемых в CodeScoring технологий. Полный список технологий можно посмотреть в документации. В формируемых SBoM-файлах содержится информация об используемых пакетах и их версиях. С помощью этих файлов можно отслеживать историю изменений в манифестах, а также сравнивать состав пакетов в разных версиях приложения.

⚡️ Работа с уязвимостями

Найденные уязвимости показываются прямо в окне текстового редактора при открытии файла манифеста. Кроме того, с уязвимостями можно работать в окне плагина, где доступны поиск и группировка по различным критериям.

⚡️ Политики безопасности

Теперь есть возможность проверить соответствие политикам безопасности, не уходя в конвейер сборки. В отчёте сканирования можно увидеть сработавшие политики безопасности с информацией об уязвимостях и заранее оценить возможность успешной сборки.

⚡️ Исправление уязвимостей “в один клик”

Плагин позволяет исправлять все найденные уязвимости в один клик. В этом случае обновятся все версии уязвимых пакетов в манифестах. Если какие-то файлы нужно исключить из массового исправления, их можно указать в специальном файле. Для точечных обновлений также можно применять исправление для каждого компонента отдельно через окно плагина или в окне редактирования текста.

⚡️ Отчёт

По окончании анализа создаётся файл отчёта в формате HTML, содержащий сводку по найденным пакетам, связанным с ними уязвимостям и лицензиям, а также нарушенным политикам.


Плагины для сред разработки помогают проверять безопасность приложения прямо во время написания кода в привычном интерфейсе. А исправлять проблемы безопасности можно сразу, не дожидаясь задачи от специалистов по безопасности или от клиентов.

Плагины доступны всем пользователям модуля CodeScoring.SCA, а для получения дистрибутива можно обратиться в нашу службу Заботы. Более подробное описание работы с плагинами доступно в документации.

🚀 Обновление CodeScoring 2025.37.0

Достижимость уязвимостей, формирование SBoM без участия инсталляции, поддержка SPDX и OIDC, а также новые возможности в TQI

В этом релизе мы сделали анализ уязвимостей глубже, усилили поддержку стандартов и расширили интеграции. Обновления также затронули политики безопасности и модуль TQI.

Определение достижимости уязвимостей

В платформе появилась одна из самых ожидаемых возможностей – анализ достижимости уязвимостей. С помощью агента Johnny теперь можно проверить использование уязвимых вызовов в подключаемых библиотеках. Эти данные помогают фильтровать находки и в первую очередь устранять уязвимости, представляющие наибольшую опасность.

Совместно с научно-техническим центром «Фобос-НТ» мы подготовили собственную базу знаний: в ходе экспертного исследования репозиториев для каждой уязвимости были выделены характерные вызовы, что позволило добиться высокой точности покрытия.

В основе анализа лежит построение графа вызовов, для чего используется модуль Svace Института системного программирования РАН, интегрированный в CodeScoring.

Результаты анализа достижимости доступны в отчётах Johnny и в интерфейсе CodeScoring. В политиках безопасности появился новый критерий для проверки достижимых уязвимостей. Подробнее можно прочитать в документации.

На данный момент поддерживается язык Java, а в ближайших релизах список языков будет расширен.

Формирование SBoM без участия инсталляции и другие улучшения Johnny

Агент Johnny теперь умеет формировать SBoM, не отправляя результаты на инсталляцию CodeScoring. Это позволяет осуществлять работу агента в изолированном контуре и получать итоговые отчеты локально.

Помимо этого формируемый SBoM стал точнее соответствовать рекомендациям ФСТЭК России – в нем появилось конфигурируемое на уровне проекта поле manufacturer. Большая работа проделана по улучшению качества ссылок на репозитории с исходным кодом библиотек.
Также, агент теперь поддерживает разбор новых форматов манифестов: deps.json и .sln для .NET.

OpenID Connect (OIDC)

Добавлена поддержка OIDC для аутентификации. Это упростит интеграцию с корпоративными системами единого входа, такими как Keycloak, и сделает процесс авторизации более безопасным.

Поддержка SPDX

CodeScoring теперь умеет выгружать SBoM в формате SPDX. Это расширяет совместимость с внешними инструментами и соответствует отечественным и международным практикам управления цепочкой поставок ПО.

Новые возможности в TQI

В модуле Teams & Quality Intelligence появились новые метрики и улучшения аналитики:
1. сравнение активности нескольких авторов на одном графике;
2. расчёт активности авторов с учётом релевантных месяцев, когда автор коммитил изменения;
3. метрика участия авторов в проектах.

Улучшения в политиках

Система политик стала ещё гибче:
1. добавлено условие для описания «глубины» транзитивности уязвимых зависимостей;
2. условия в выпадающих списках разделены на секции для удобства;
3. стало проще переносить правила внутри политик.

Кастомные шаблоны уведомлений и тикетов

При создании задач в Jira и email-уведомлений теперь можно использовать собственные шаблоны. Это позволяет адаптировать сообщения под формат конкретной команды или проекта.

Полный список изменений можно посмотреть на странице Changelog в документации.

CodeScoring на Kazan Digital Week 2025

С 17 по 19 сентября в Казани открывает свои двери Kazan Digital Week 2025. На форуме соберутся разработчики и пользователи цифровых технологий из многих стран, для того, чтобы обменяться знаниями, обсудить продвижение передовых решений и глобального партнерства в области искусственного интеллекта и кибербезопасности. А так же планируется масштабная выставка, где участники форума представят свои решения.

CodeScoring работает на форуме все три дня и у нас большие планы:

📌мы едем со стендом, где можно будет больше узнать про нашу платформу, посмотреть её вживую и пообщаться с нашими экспертами.

📌Алексей Смирнов примет участие в круглом столе 18 сентября в 14:00 «Безопасная и качественная разработка ПО. Культура, конвейер, технологическая независимость», в котором также примут участие представители ФСТЭК России, ИСП РАН, НТЦ «Фобос-НТ», ИТ-экосистемы «Лукоморье», «Базис» и Test IT.

На круглом столе эксперты обсудят, как сформировать инженерную культуру, которая объединит качество, доверие и эффективность, а также обеспечит стратегическую устойчивость бизнеса и технологическую независимость страны.

🌟на форуме будет анонсирован проект, над которым работают несколько вендоров, но рассказать мы про него не можем, пока секрет.

Будем рады видеть вас, поделиться нашими новостями и обсудить планы на будущее!

Осенний вебинар от CodeScoring: достижения, достижимость, плагины для IDE!

CodeScoring продолжает демисезонную серию вебинаров с рассказом про крупные обновления платформы.

В этот раз мы расскажем про наши улучшения в работе композиционного анализа, которые помогают кратно повысить эффективность применения инструментов защиты цепочки поставки за счет технологических нововведений и расширения интеграции “влево”: анализ достижимости уязвимых методов и плагины для редакторов кода (IDE).

Вы сможете по душам пообщаться с нашей продуктовой командой, а мы будем рады ответить на удобные и неудобные вопросы.

📅Когда: 16 октября в 11:00
📌Регистрация: https://my.mts-link.ru/j/CodeScoring/cs-autumn
🌐Полное описание вебинара: https://codescoring.ru/blog/tpost/o2zce4jot1-osennii-vebinar-ot-codescoring-dostizhen

До встречи! Будем рады видеть вас и ваших коллег, которые пользуются CodeScoring или только слышали о нём.

#вебинар_cs

Мы уже в эфире. Присоединяйтесь https://my.mts-link.ru/j/CodeScoring/cs-autumn/stream-new/4883213276 💕