Привет!

Раньше про все наши обновления и события можно было почитать в нашем блоге, но многие просили, и теперь мы ближе к дорогим сочувствующим :)

По продукту регулярно выходят новые обновления, мы выступаем на конференциях с новыми идеями и пишем об этом статьи. Будем держать вас в курсе событий! Поехали!

Наши последние выступления

А пока мы готовим очередной релиз, предлагаем посмотреть наши последние доклады о проблематике композиционного анализа программного обеспечения (да-да, тот самый Software Composition Analysis).

Highload Foundation
Безопасность цепочки поставки Open Source-компонентов
Видео | Презентация

PHDays 11
Актуальные вызовы композиционному анализу ПО
Видео | Презентация

DevOpsConf 2022
Protestware. Как много в этом слове!
Видео | Презентация

Вебинар. Обеспечение безопасной работы с Open Source компонентами

Совместно с учебным центром Слёрм и в преддверии их нового курса "Основы информационной безопасности для всех", мы провели вебинар о безопасной работе с Open Source, делимся материалами.

Тезисы:
На вебинаре вы узнаете проблематику безопасной разработки в отношении Open Source компонентов; принципы выстраивания безопасной разработки в отношении Open Source; основные принципы работы систем композиционного анализа; обзор российской платформы обеспечения процессов безопасной разработки программных продуктов CodeScoring; возможности практического применения CodeScoring.

Запись вебинара | Коротенькая расшифровка на Хабре.

PS. Для фанатов: на демо мы немного засветили фичи из грядущего релиза в части работы с политиками ;).

Мониторинг уязвимостей тоже мониторинг?

Многие, кто был с нами на конференциях и выставках знают, что мы максимально за живое общение. Так вот, завтра можно будет посмотреть на нас и пообщаться на вечернем митапе в баре Failover на Васильевском острове.

Для тех кто использует продукт мы больших секретов не раскроем, здесь скорее введение в область.

Доклад о применении систем композиционного анализа программного обеспечения (Software Composition Analysis, SCA) в контексте отслеживания безопасности компонентной базы разработки.

🗓 Когда? 26.07.22, вторник, 19:30 -21.00
🍺 Где? Failover Bar: СПб, м. Василеостровская, 7 линия В.О, д. 42, 2 этаж

Ссылка на мероприятие.

Upd: запись встречи.

Мы выпустили CodeScoring OSS Firewall! 🚀

⚡️ В CodeScoring SCA появилась новая функция — OSS Firewall

🔥 CodeScoring OSS Firewall блокирует сторонние компоненты в прокси-репозиториях (например, в Nexus Repository Manager, NXRM) согласно настроенным политикам, что обеспечивает защиту создаваемых программных продуктов от включения в них уязвимых и небезопасных сторонних открытых компонентов.

❗️ Важно отметить, что проверка правил блокировки в CodeScoring происходит при любой попытке использовать артефакт, в том числе обеспечивается запрет на прямое скачивание заблокированного компонента через веб-интерфейс хранилища артефактов и дальнейшего использования в контуре разработки.

🗣 «Ушедшие с рынка инструментов безопасной разработки западные вендоры оставили российский рынок без инструментов контроля цепочки поставки ПО. Мы рады предложить качественную альтернативу.» — Алексей Смирнов, Основатель CodeScoring.

📌 Дистрибьютор Web Control, партнеры и ранние заказчики CodeScoring SCA уже оценили новую функциональность, подробнее в пресс-релизе.

Обновления за июнь-сентябрь 2022 🚀

Лето и начало осени мы посвятили разработке и запуску функций, которые наши клиенты просили чаще и больше всего. Рассказываем, что получилось.

1. Добавлена возможность авторизации пользователей с использованием протокола LDAP. Гибкая система настроек позволяет интегрировать практически любую поддерживаемую директорию пользователей.

2. Реализована ролевая система управления доступами. Теперь доступом пользователей к проектам можно просто и удобно управлять и на уровне отдельных пользователей, и на уровне групп. На каждом уровне доступно несколько ролей, определяющих права доступа к проекту: только просмотр, ограниченный доступ управления, полный доступ.

3. Полностью переделана система работы с политиками. Теперь она позволяет составлять сложные комбинированные условия. Доступны логические сочетания. Также обновлена система игноров для исключения срабатывания частных кейсов.
- В политиках доступно задание условий практически по всем параметрам зависимостей, лицензий и уязвимостей. Также есть возможность использования PURL.
- Соответствующее обновление получил и наш консольный агент, который теперь полностью совместим с новым движком политик.
- Добавлена возможность настройки политик для разных стадий цикла разработки (например, proxy, prod, stage и т.д.)

4. Запущена и успешно протестирована нашими ключевыми клиентами функциональность OSS Firewall в виде плагина к Nexus Repository Manager и JFrog Artifactory PRO. Механизм полностью интегрирован с нашей новой системой политик и позволяет гибко настраивать правила для проверки и блокировки пакетов при установке через прокси-репозиторий.

5. Важное обновление для самых сосредоточенных на безопасности клиентов: наша установка полностью переведена на rootless образы Docker.

6. Существенное обновление получил и наш движок определения уязвимостей. Очередное обновление позволит нам ещё более гибко и быстро дорабатывать и настраивать его для увеличения точности работы.

7. Из небольших, но важных изменений: улучшена интеграция с системами контроля версий, расширено логирование и вывод ошибок.

8. Также мы обновили канал CodeScoring на YouTube. Там собраны и упорядочены все наши выступления, в том числе и за последние несколько месяцев.

В работе у нас ещё много всего интересного, в том числе большое обновление системы работы с транзитивными зависимостями и поддержка разбора Docker-образов.

Команда CodeScoring поздравляет вас с наступающим Новым годом.

Благодарим наших заказчиков, партнеров и сообщество за веру в нас и наш продукт! Ваша обратная связь помогает нам держать правильный курс и становиться лучше от релиза к релизу.

В январе мы расскажем подробнее о важных обновлениях CodeScoring последних месяцев.

Безопасных зависимостей и качественного кода!

Встреча сообщества безопасной разработки

Итак, ура! Мы начинаем Новый год встречей SDL-сообщества в очно-заочном формате в Санкт-Петербурге. Команда CodeScoring конечно будет и мы можем познакомиться и пообщаться в свободной обстановке. Будем рады видеть!

🗓 Когда: 20 января 2023
📍 Где: митап-бар Failover Bar
🗺 Адрес: СПб, 7-я линия Васильевского Острова, д. 42

Тайминги:
16:00 Виски-час (да-да, вы не ослышались, это он).
17:00 Открытие
17:10 Доклады от энтузиастов сообщества
19:30 Радости и горести - микродоклады на свободную тему
20:00 Общение сообщества (оффлайн)

🎁 +сюрпризы от организаторов и участников!

Доклады посвящены инструментам и технологиям, а также радостям и горестям практических подходов внедрения процессов безопасной разработки (DevSecOps) в жизнь организации (не забудем и про сертификацию).

Выступят ведущие эксперты компаний: ИСП РАН, CodeScoring, Фобос-НТ, Postgres Professional, Базальт СПО, Ядро и Беллсофт.

Для тех кто не доберется, будет проходить трансляция на youtube-канале организаторов, подписывайтесь, чтобы не пропустить.

Участие бесплатное, пароль на входе - SDL.

Неформальность гарантируем!

Коллеги! Техническая накладочка,
трансляция с Ютуба переносится в Телеграм.

Стрим будет у нас в канале: https://xn--r1a.website/codemining

Комментарии и вопросы задавать в чате:
https://xn--r1a.website/+lpIQaXrEAuo3MzAy

Обновления с октября 2022 по январь 2023 🚀

Подводим итоги нашей работы за последние четыре месяца и делимся результатами!

1. Закрытое тестирование проходит функция сканирования Docker-образов. О деталях мы расскажем в отдельном анонсе.

2. Добавлена интеграция с двумя новыми базами уязвимостей: OSS Index от Sonatype и OSV от Google. Последняя агрегирует в себя 15 экосистемных фидов.

3. Открыт API для всех сущностей on-premise инсталляции. Теперь есть возможность создавать собственные автоматизации и настраивать гибкие интеграции со сторонними сервисами.

4. Взаимодействие on-premise инсталляции с облаком CodeScoring переведено на асинхронный режим. Это существенно оптимизирует работу системы по сети, сокращает количество постоянных соединений, убирает зависимость от таймаутов, делает получение результатов более надёжным. Огромный плюс для наших клиентов, работающих через локальные прокси.

5. Добавлены новые параметры настройки политик, например: возраст зависимости, идентификатор CWE, условие отсутствия данных о пакете. В общей сложности для создания политик на данный момент доступно 20 условий, которые можно свободно комбинировать.

6. Дополнительно стал доступен набор преднастроенных политик для оповещений об обнаружении protestware пакетов на основе фида toxic-repos.

7. Расширены возможности консольного агента: распаковка и сканирование архивов, расширенная поддержка Gradle Dependency Tree, поддержка последних стандартов Yarn-манифестов, улучшен разбор манифестов Conan.

8. Оповещения политик теперь можно отложить на определенный промежуток времени или до указанной даты с помощью функций “ignore for” и “ignore until”.

9. Расширены события аудит лога, в том числе теперь сохраняются события входа пользователей.

10. Существенно оптимизирована скорость проверок через Firewall, время ожидания при установке пакетов сократилось в несколько раз.

11. Для удобства наших клиентов мы перешли на схему версионирования CalVer.

Как всегда, за кадром было сделано ещё много технической и аналитической работы, и ещё много полезных обновлений уже в разработке 👨‍💻

CodeScoring на ТБФорум'23

Наша команда примет участие на грядущем ТБФоруме в рамках дня Безопасной разработки.

Можно заглянуть к нам на стенд, пообщаться лично и послушать новые доклады. Программа уже доступна.

🗓 16 февраля 2023
📍 Крокус Конгресс Холл, Москва

✅ Участие бесплатное, но регистрация обязательна (для прохода): https://www.tbforum.ru/2023/as-visitors

#ТБФорум

И дополнительная информация от организаторов Дня безопасной разработки:

Формат мероприятия экспериментальный и новый для ТБФорума, поэтому несколько тезисов почему мероприятие может быть интересным для вас:

1. Лейтмотив мероприятия - встреча сообщества энтузиастов безопасной и качественной разработки, формируемого под эгидой Центров компетенций ФСТЭК России и ИСП РАН. По духу мероприятие задумано как встреча единомышленников, своего рода масштабный митап. По сути - коктейль из вопросов разработки качественного кода, тестирования решений на всех этапах жизненного цикла, регуляторики в отношении этих процессов.

2. Целевая аудитория мероприятия максимально широкая - мы проектируем его интересным ген. директору и джун-разработчику, чиновнику и ученому-студенту, при одном важном условии: вы действительно заинтересованы в том, чтобы узнать что-то новое и улучшить процессы на любом уровне, от начинающей компании до государства в целом.

3. В программе мероприятия параллельные треки активностей - традиционные доклады и мастер-классы (да! кнопки понажимать тоже удастся), большой круглый стол и блиц-зона частных консультаций (бесплатно, без СМС). А также несколько сюрпризов 😏 Традиционно важным для встреч сообщества форматом являются кулуары - по опыту можем с уверенностью заявить, присутствовать лучше очно. Но разумеется трансляция основного трека докладов также планируется.

4. Совершенно неожиданно у нас случился аншлаг спикеров. Что особенно приятно - основная их часть это не просто активные участники нашего сообщества и значимые профессионалы в своих областях, но и хорошие рассказчики, что немаловажно для успеха конференции. Важный момент - совместно со спикерами мы провели ряд организационных мероприятий, вследствие которых рассчитываем, что в основном треке докладов не будет ни лютой маркетологии (при всём уважении к маркетологам), ни инженерного хардкора (при всём уважении к инженерам экстра-класса). Постараемся держать баланс интереса и полезности для широкой аудитории 🙂

Не забудьте пройти регистрацию:
https://www.tbforum.ru/2023/as-visitors

#ТБФорум