Axel PRO и «Флант» настроили интеграцию платформы безопасности приложений «Шерлок» с системой управления исходным кодом и CI/CD Deckhouse Code. Совместное решение автоматизирует работу с ИБ-дефектами и сокращает разрыв между написанием кода и его проверкой.
Интеграция снимает проблему разрозненных данных об уязвимостях: AppSec-инженерам больше не нужно собирать результаты сканеров из разных источников и вручную переносить их в таблицы. «Шерлок» собирает результаты SAST, SCA и Image Scan в едином окне, нормализует и дедуплицирует срабатывания, а Deckhouse Code обеспечивает хранение кода и сборку релизов. За счёт API-совместимости Deckhouse Code с GitLab платформа обращается к файлам и истории коммитов напрямую из репозитория. Совместное решение работает «из коробки» и не требует сложной настройки коннекторов со стороны заказчика.
Специалисты по информационной безопасности получают полноту контекста: в карточке дефекта доступен весь файл с кодом целиком, а история коммитов показывает, когда именно в репозиторий попала уязвимость или секрет. Это ускоряет разметку инцидентов, позволяет точно квалифицировать срабатывания сканеров и избавляет инженеров от ручного сведения отчётов в электронные таблицы. Централизация данных и сквозной контроль изменений помогают компаниям выполнять требования ГОСТ Р 56939-2024 по безопасной разработке (РБПО).
Команды разработки получают прямой навигатор по ошибкам: из интерфейса «Шерлока» программист в один клик переходит к проблемному участку в Web IDE Deckhouse Code и вносит исправление в нужную строку. Процесс устранения дефектов становится прозрачным, а объём информационного шума для разработчиков снижается.
Следующий этап технологического взаимодействия — механизм автоматической блокировки небезопасного кода (Security Gate): при обнаружении критичных уязвимостей на этапе запроса на слияние (Merge Request) «Шерлок» не даст небезопасному коду попасть в основную ветку Deckhouse Code до полного устранения дефектов.
При переходе на отечественные платформы компаниям важно не только сохранить привычные процессы разработки, но и обеспечить их интеграцию с инструментами информационной безопасности. Deckhouse Code предоставляет единую среду для работы с исходным кодом, управления изменениями и CI/CD. Интеграция „Шерлок“ с Deckhouse Code позволяет дополнить эти процессы централизованным управлением уязвимостями, объединить результаты проверок различных сканеров и встроить контроль требований безопасности в конвейеры разработки. Для заказчиков это возможность выстраивать полноценный процесс безопасной разработки на базе отечественных решений, сохраняя привычные инструменты и не усложняя работу команд.
Никита Борзых, управляющий партнёр компании «Флант»
Практика показывает, что безопасность часто воспринимается разработчиками как барьер, тормозящий выпуск продуктов. Наша цель — сделать процессы AppSec органичной частью написания кода. Взаимодействие платформы “Шерлок” с Deckhouse Code позволяет анализировать изменения ещё до того, как они попадут в основную ветку. Такая интеграция упрощает работу AppSec-специалистов, предоставляя им инструменты для своевременного выявления и контроля уязвимостей, и одновременно помогает разработчикам встраивать проверки безопасности в привычные процессы, не меняя сложившийся инструментарий. В результате безопасность становится естественной частью процесса разработки, помогая компаниям поддерживать высокий темп выпуска продуктов.
Антон Гаврилов, директор продукта «Шерлок», Axel PRO
Интеграция «Шерлока» и Deckhouse Code уже доступна заказчикам.