Рекомендации ФСТЭК для SAP, анализ хранилищ 1С и улучшение проверок: вышла новая версия SafeERP

«В этом релизе мы сосредоточились на том, чтобы результаты проверок было проще использовать в повседневной работе. Для команд, работающих с 1С, это более удобный контроль безопасности и качества кода в процессе разработки и более наглядная оценка того, как меняется защищённость системы. Для заказчиков SAP — меньше ручной работы при оценке выполнения рекомендаций регулятора и больше возможностей заранее выявлять проблемы, способные повлиять на доступность бизнес-приложений.

Мы развиваем SafeERP не только как инструмент поиска уязвимостей: нам важно помогать командам поддерживать качество кода и управлять устранением выявленных недостатков. Обновлённые условия пилотирования дополняют эти изменения, делая переход от знакомства с продуктом к полноценному использованию более понятным», — отметила Римма Кулешова, менеджер по продукту SafeERP компании «Газинформсервис».

Обновления для комплексной защиты SAP (Security Suite)

Продукт прошёл дополнительный анализ на соответствие рекомендациям ФСТЭК России по защите SAP: подтверждено покрытие 95% рассмотренных требований. В модуле появился отдельный профиль проверок соответствия рекомендациям регулятора. По сути, заказчики получают готовый инструмент для оценки защищённости SAP, что упрощает подготовку к проверкам и снижает трудозатраты на аудит.

В SAP Java добавлена возможность отслеживания сроков действия сертификатов. Новая функция позволяет планировать обновление сертификатов, предотвращая сбои защищённых соединений и простои бизнес-систем.

В анализе кода появились новые проверки категории «Удобство сопровождения» и категории «Безопасность».

Обновления для комплексной защиты 1С (Extension Module)

В части анализа кода появился источник типа «1С Хранилище»: теперь хранилище 1С можно подключать непосредственно в проектах анализа, расширяя возможности контроля безопасности и качества исходного кода.

Также появились 10 новых проверок безопасности и качества кода 1С. Кроме того, добавлен шаблон «Поиск HTTP-соединений» для создания собственных проверок, которые будут учитывать специфику инфраструктуры заказчика.

13 проверок 1С дополнены примерами кода без уязвимостей, что ускоряет устранение замечаний. Улучшены алгоритмы поиска явно заданных API-ключей и паролей, а для проверки одинаковых блоков кода снижено число ложноположительных срабатываний.

В части анализа платформы появился дифференцированный отчёт с возможностью сравнивать результаты сканирований и отслеживать динамику уязвимостей. Для управления процессом устранения добавлена настраиваемая выгрузка отчётов по выбранным уязвимостям.

Инструменты безопасной разработки (Extension Module +)

Возможностей анализа состава приложений (SCA) стало больше: добавлена поддержка манифестов зависимостей, SBOM-файлов в форматах SPDX и CycloneDX, архивов, Docker-образов и пакетов. Файлы разных типов можно загружать и анализировать в рамках одной итерации — это сокращает время подготовки и проведения анализа.

Новая проверка Dockerfile выявляет разрешения на редактирование файлов у пользователей без root-полномочий: такие настройки могут позволить злоумышленнику вмешиваться в работу приложений и создавать условия для повышения привилегий.

Помимо этого, продукт успешно прошёл ежеквартальную проверку совместимости с СУБД Jatoba и другими базами данных, операционными системами и Kaspersky Anti-Virus, а в Security Suite обновлены примечания SAP Notes.