Новый инструмент для защиты онлайн и мобильных банковских приложений вышел на рынок

Российская компания Solar Security, выделившаяся в марте 2015 г из "Инфосистемы Джет", и известная как разработчик продуктов и сервисов для целевого мониторинга и оперативного управления информационной безопасностью представила сегодня на пресс-конференции в Москве новый отечественный инструмент проверки безопасности приложений - Solar inCode.

Игорь Ляпунов, генеральный директор компании Solar Security, рассказал, чтотна разработку нового российского ПО для анализа уязвимости приложений у компании ушло два года.

По его словам, новый продукт будет востребован преимущественно для отраслей банкинга и ритейла. По данным ЦБ в прошлом году в результате действий киберпреступников банки не досчитались 6 млрд рублей, ритейл все более переходит на мобильные приложения, что усиливает возможности киберпреступников, отметил он.

"Доминирующая часть сегодняшних атак (69%) - сказал Д. Ляпунов - направлены на внешние бизнес-приложения (web и мобильные - прежде всего". Поэтому выводимый на рынок продукт, говорит Д. Ляпунов, представляет собой специализированный программный сканер исходных кодов бизнес-приложений и сочетает в себе статические технологии анализа кода и научные подходы к реверс-инжинирнгу.

Solar inCode, как заявлено компанией, является инструментом статического анализа кода, предназначенным для выявления уязвимостей и недекларированных возможностей (НДВ) в программном обеспечении.

Представители компании уточнили для СМИ ряд деталей функционирования нового ИБ-продукта.

Анализ приложений, по словам Даниила Чернова, руководителя направления inCode компании Solar Security, проводится в Solar inCode методом «белого ящика», даже при отсутствии исходного кода, что является основной отличительной чертой продукта. Для этого достаточно загрузить в сканер рабочие файлы приложений, а в случае мобильных приложений – просто скопировать в сканер ссылку из Apple Store или Google Play.

Разработчики отмечают, что технологии деобфускации и декомпиляции, реализованные в Solar inCode, позволяют восстанавливать исходный код с высокой степенью точности, даже если к нему были применены обфусцирующие (запутывающие) преобразования. Для повышения качества анализа кода используется четыре различные технологии, включая taint-анализ, а для снижения количества ложных срабатываний – технологический модуль Fuzzy Logic Engine с авторскими алгоритмами фильтрации уязвимостей.

Solar in Code, отмечают в компании, создавался как специализированный инструмент для специалистов по безопасности, отсюда - особое внимание, которое было уделено разработчиками системе отчетности. Основное отличие продукта, как было отмечено на пресс-конференции, заключается в том, что он выдает детальные рекомендации по настройке наложенных средств защиты (SIEM, WAF, NGFW), блокирующих возможности эксплуатации уязвимостей до момента их устранений.

Для разработчиков, в свою очередь, предусмотрены отчеты с описанием выявленных уязвимостей со ссылками на соответствующие участки кода и рекомендации по их устранению путем внесения изменений в код, что существенно упрощает задачи разработки.

На данный момент, как рассказали создатели нового российского ИБ-инструмента, Solar inCode позволяет анализировать онлайн и мобильные приложения, написанные на самых популярных языках: Java, Scala, PHP, Objective C, Java for Android. В планах по развитию продукта расширение списка анализируемых языков: JavaScript, PL/SQL,1С и С#.

«За последнее время риски эксплуатации уязвимостей программного кода значительно выросли, – отметил, в частности, Игорь Ляпунов, генеральный директор Solar Security, – по нашим данным, которые содержат отчеты JSOC, более 60 % успешных кибератак, нацеленных на внешние бизнес-приложения, реализуются через уязвимости в ПО. При том, что тема безопасности приложений достаточно нова, большинство профессионалов в области безопасности понимают, что от качества кода стала напрямую зависеть защищенность информации, денег, а подчас и целых компаний».

Согласно информации компании, несмотря на то, что продукт не был представлен официально на рынке, его пользователями уже сейчас являются АКБ «Балтика», Банк «Образование», Яндекс.Деньги и компания «М Софт».

По материалам PLUSworld.ru