Работа со ScanSuite

Статический анализ кода

Анализ репозитория или архива: AI Native SAST, секреты, зависимости и классические сканеры.

Статический анализ в ScanSuite выполняют сразу несколько сканеров. Все они настраиваются на одной странице и проверяют одну и ту же копию кода:

Сканер	Что делает
AI Native SAST	Модель читает каждый файл из области сканирования и сообщает об уязвимостях, а отдельный агент затем проверяет, достижима ли каждая из них.
Поиск секретов	Ищет в коде ключи, токены и учётные данные. По желанию модель отсеивает тестовые и недействующие.
Анализ зависимостей (SCA)	Сверяет сторонние библиотеки с известными CVE. С проверкой достижимости остаются только те, до которых доходит ваш код.
Классические сканеры SAST	Быстрая и полная проверка приложения и ваши собственные правила Semgrep («Мои правила»).
Сканирование конфигураций (IaCS)	Ищет риски в конфигурациях Terraform, Kubernetes и облачных сред.

Типы сканирования

Сканирование можно запустить вручную или по расписанию. Кроме того, ScanSuite умеет следить за репозиторием: когда ветка обновляется, платформа сама проверяет изменения. Подробнее — в разделе Периодические и инкрементальные сканирования.

Пошагово

01
Создайте продукт
Перед первым сканированием создайте продукт, как описано в разделе «Продукты». Если продуктов ещё нет, форма даст ссылку на его создание.
02
Подготовьте исходный код
Загрузите ZIP-архив с одним или несколькими каталогами кода или укажите Git-репозиторий. Подойдёт и HTTPS, и SSH.
03
Откройте страницу статического анализа
Выберите «Анализ кода» в боковом меню. На вкладке «Загрузить ZIP» перетащите архив, на вкладке «Git-репозиторий» укажите репозитории, затем выберите основной язык проекта.

В поле Репозитории можно указать полные URL, имена репозиториев или ключи проектов Bitbucket через запятую, точку с запятой или с новой строки. В поле Ветка репозитория задаётся ветка для сканирования. Чтобы проверить другую ветку одного из репозиториев, допишите к нему @ветка.

Если указан один репозиторий, форма показывает, во что обошлось его последнее завершённое сканирование: дату, токены и вызовы LLM, а если для моделей заданы цены — и стоимость. По этим цифрам проще всего прикинуть цену следующего сканирования.

Для закрытого репозитория сначала настройте доступ — Аутентификация в Git-репозитории. Если вы вводите SSH-адрес, а у команды нет SSH-ключа для клонирования, форма сразу об этом предупредит.

Выбор источника кода для статического анализа — Для указанного репозитория видны затраты на последнее сканирование и настройки AI Native SAST

Выбор сканеров

Сканеры для конкретного языка запускаются вместе с классическим сканером Полный, а какие именно — зависит от поля Основной язык. Если в репозитории несколько языков, выберите Все поддерживаемые языки: тогда языки определяются по самому коду.

Поддержка языков

AI Native SAST понимает более 30 языков. Для двенадцати из них есть ещё и отдельный классический сканер — из них и состоит список Основной язык:

Поддержка	Языки
Классический сканер и AI SAST	C, C++, C#, Go, Java, JavaScript, Kotlin, PHP, Python, Ruby, Swift, TypeScript
Только AI Native SAST	COBOL, Dart, Elixir, Erlang, F#, Groovy, Haskell, Lua, Objective-C, Perl, PowerShell, Rust, Scala, Shell, SQL, Svelte, Visual Basic, Vue

В списке есть языки с классическим сканером и COBOL. Чтобы AI SAST проверил язык из второй строки, выберите «Все поддерживаемые языки»: тогда модель получит все расширения из таблицы, а не одно семейство языков.

На той же странице можно выбрать:

Дополнительные сканеры из группы Классические сканеры SAST.
Какие классические сканеры выгружают результаты в DefectDojo. Для этого в настройках сканера есть переключатель Экспорт в DefectDojo; он появляется, когда у команды подключён DefectDojo.
AI-проверки:
- AI Native SAST с дополнительными опциями Анализировать историю Git, Проверять достижимость уязвимостей, Анализировать архитектуру безопасности и Межфайловый поиск: аутентификация, изоляция данных, LLM, CI/CD. Последняя работает только вместе с анализом архитектуры
- Проверять секреты с ИИ
- Проверять достижимость уязвимостей для анализа зависимостей

Под каждой AI-опцией есть короткое пояснение, что она делает. Так ещё до включения видно, во что она обойдётся.

Уязвимости AI Native SAST всегда сохраняются в ScanSuite, найденные секреты — на странице учётных данных, а уязвимости, найденные вашими правилами, — на странице «Уязвимости». Анализ зависимостей формирует отчёт и сохраняет уязвимости, достижимость которых подтвердил. В DefectDojo ничего из этого не выгружается. Остальные классические сканеры пишут результаты в отчёт сканирования и, если включён экспорт, в DefectDojo — его стоит подключить, если вы на них полагаетесь. Результаты Semgrep дополнительно сохраняются в ScanSuite, если на вкладке «Сканирование» настроек команды включён параметр Сохранять уязвимости сканеров. См. Настройка DefectDojo.

Область сканирования

В списке Режим сканирования режимы сгруппированы по времени запуска, а строка под списком поясняет, что сделает выбранный режим:

Группа	Режимы
Запустить сейчас	«Полное сканирование», «Инкрементальное сканирование», «Выбранная область» и «Проверка исправлений». В режиме «Выбранная область» вы задаёте шаблоны файлов и папок, чтобы AI-анализ проверил только важную часть кода. В режиме «Проверка исправлений» указываете уязвимости для повторной оценки.
Повторять	«Ежедневно», «Еженедельно» и «Ежемесячно»: сканирование запускается сразу, а затем повторяется во время из поля «Время запуска».
Следить за репозиторием	«Отслеживание изменений»: ScanSuite раз в час проверяет ветку и сканирует только изменения.

Режим статического анализа — Блок «Настройки»: выбранный режим и пояснение к нему

Пока источник — ZIP-архив, режимы, которым нужна история Git, недоступны: архив сканируется только один раз. Несколько репозиториев сразу можно указать только для полного и инкрементального сканирования. Подробнее — Периодические и инкрементальные сканирования.

AI-анализ оплачивается по токенам, поэтому главный способ управлять расходами — область сканирования. Для этого и нужны выбранная область, инкрементальное сканирование и мониторинг репозитория: повторная проверка стоит столько, сколько кода изменилось, а не сколько его всего.

Запуск сканирования

Убедитесь, что в поле Привязка к продукту выбран продукт, к которому относятся уязвимости, и нажмите Запустить анализ.

У одиночного сканирования есть своя страница, где видно, как оно проходит этапы, — см. Страница сканирования. Все сканирования также собраны в истории сканирований.

Проверено: 2026-09-30