В последнее время большую популярность приобрели решения по анализу защищенности информационных систем, корпоративных сетей, webприложений, баз данных и т.п. Такие решения требуются в связи с законодательством РФ для защиты ИСПДн, ГИС, АСУ а также для уменьшения наиболее критических рисков. Можно сказать, что системы анализа защищенности, прошли долгий путь в 17 лет и как межсетевые экраны применяются почти во всех компаниях.
Первое время такие системы имели возможности только по внешнему анализу защищенности, методом “черного ящика”, когда проверяемое приложение уже введено в эксплуатацию. Назовем их системами первого поколения.
Год-полтора назад на российском рынке стали активно продвигаться 3 решения второго поколения, имеющие возможности анализа защищенности исходных кодов приложений и сервисов: InfoWatch APPERCUT , ERPScan CheckCode , FortifyStatic Code Analyzer . Данные системы можно было применять сразу после окончания разработки приложения или сервиса и тем самым подняли планку защищенности систем ещё выше, но развитие на этом не закончилось.
Следующим шагом (третье поколение) стало внедрение в системы анализа защищенности средств автоматизации безопасной разработки (Secure Development LifeCycles, SDLC). Таким образом разработчики приложений получили анализ защищенности кода в режиме реального времени при написании кода, возможность автокорректировки кода и автоматической генерации блоков заведомо безопасного кода.
Новым этапом (четвертое поколение систем) стало появление возможности генерации защищенного приложения по заранее заданным характеристикам. Такие системы анализа (генерации защищенности) необходимы чтобы избежать человеческих ошибок при разработке кода приложения.
Начали это поколение Microsoft , а остальные игроки на рынке анализа защищенности поддержали. Так ребята из DSec, в новой версии ERPScanдобавили возможность генерации защищенных приложений SAPна языке ABAP, подготовили новый продукт DBOScanдля генерации защищенных систем дистанционного банковского обслуживания и уже более года пытаются согласовать и пропихнуть стандарт по безопасной генерации ДБО .
Коллеги HPFortifyпошли немного по другому пути и выпустили модуль Runtime , позволяющий подменить в любом запускаемом вами приложении на лету подменить уязвимый код на защищенный.
Жирную точку в этой гонке поставили разработчики из Infowatchсовместившие возможности по анализу и генерации кода Appercuteи мониторинга персон и репутации Kribrum . Новая система Krapper(пятое поколение) позволяет генерировать для каждого пользователя индивидуальное защищенное приложение в соответствии с его интересами, а по окончании сеанса уничтожать его (отсюда и название). Проблемы хакеров решены по-умолчанию. Вместо того чтобы скрывать от них информации, система генерирует новое приложение в зависимости от интересов хакеров. И хакеры довольны и информация цела.
Вот такой получился краткий обзор пяти поколений систем. Теперь вам решать – сканировать или генерировать защищенность.
