Security Vision объявляет о запуске ASOC

Компания Security Vision представила платформу ASOC, призванную объединить разрозненные процессы и инструменты в рамках SSDLC. ASOC устраняет разрозненность инструментов и предоставляет целостное, управляемое представление о безопасности всей разработки, что позволяет ИТ-и InfoSec-командам принимать решения на основе объективных метрик, а не разрозненных отчетов.

Продукт включает пять модулей. На этапе дизайна и архитектуры платформа помогает описывать компоненты приложения и их взаимосвязи, определять границы доверия и проводить моделирование угроз. Поддерживаются методологии STRIDE, OWASP и LINDUNN — угрозы привязываются к конкретным компонентам. Модуль обеспечивает автоматический подбор сценариев угроз по компонентам, возможность задавать потоки данных и границы доверия, выявление рисков на ранних этапах, а также создание задач по митигации внутри платформы или интеграцию с ITSM-системами.

На этапе контроля безопасности кода система выполняет статический анализ, поиск секретов, проверку зависимостей и автоматически формирует задачи. Для каждого проекта можно настраивать политики code review (требования к проверкам безопасности перед слиянием кода), параметры CI/CD и правила приоритизации задач по устранению уязвимостей. Политики применяются масштабно — на всю организацию.

Модуль инфраструктурного контроля позволяет автоматизировать запуск и контроль устранения проблем, обнаруженных при анализе контейнеров, образов и системных пакетов, DAST-сканировании веб-приложений (включая OWASP ZAP), а также фаззинг-тестировании.

В рамках безопасного развертывания политики безопасности интегрируются в CI/CD-процессы. Система блокирует релизы при наличии критических уязвимостей и контролирует целостность сборок и поставочных артефактов.

На финальном этапе операционного мониторинга платформа непрерывно отслеживает активы, включенные в SSDLC. Функциональность включает получение актуальных уязвимостей из VS/VM-платформ с привязкой к активам — для сопоставления рисков с архитектурой, кодом и инфраструктурой, а также загрузку и классификацию инцидентов из SOAR и других систем мониторинга с привязкой к проектам и сервисам.

Платформа ASOC интегрируется с инструментами разработки и анализа — PVS-Studio, Trivy, Semgrep, GitLab, GitHub, Azure DevOps, OWASP ZAP и другими — и использует собственную модель данных, соответствующую этапам SSDLC.

Реализация продукта на платформе Security Vision 5 с включенными в ее состав no-code конструкторами позволяет настраивать интеграции, отчеты, дашборды и правила обработки объектов без изменения кода.

Также в продукте реализована система мониторинга для контроля выполнения каждого этапа и возможность оценивать зрелость процессов на каждом из них. Единая панель аналитики отображает ключевые показатели: уровень угроз, количество уязвимостей, инцидентов, покрытие проекта сканированием, качество сборок и динамику рисков.

В дорожной карте — поддержка Kubernetes через SPC, анализ IaC и мобильных приложений, а также AI-категоризация уязвимостей, которая, по оценкам разработчиков, может снизить нагрузку на AppSec-команды на 80–90%.

ASOC доступен корпоративным заказчикам с ноября 2025 года. Дополнительные интеграции, поддержка мобильной безопасности, IaC-анализ и расширенное покрытие Kubernetes войдут в релизы 2025–2026 годов.