v1.0
Первый релиз: статическое, динамическое и инфраструктурное сканирование с интеграцией DefectDojo.
Первый релиз определил, чем ScanSuite остаётся до сих пор: платформой, которая запускает множество сканеров безопасности из одной консоли, приводит их результаты к общему виду и собирает в одном месте, где с ними работает команда.
Статический анализ
Четыре вида проверки архива с кодом или Git-репозитория, у каждого свои сканеры и свой отчёт:
| Сканер | Что проверяет |
|---|---|
| SAST | Статическое тестирование безопасности приложений на поддерживаемых языках; сканеры подбираются по основному языку проекта. |
| Поиск секретов | Поиск ключей, токенов и учётных данных, попавших в репозиторий. |
| Анализ состава ПО (SCA) | Проверка сторонних компонентов из манифестов и lock-файлов проекта по базе известных CVE. |
| Анализ IaCS | Проверка конфигураций инфраструктуры как кода и систем управления: риски в Terraform, Kubernetes и облачных настройках. |
Динамическое сканирование
Несколько профилей сканирования веб-приложений, чтобы подобрать проверку под задачу:
- Quick — быстрые проверки для smoke-тестов в CI/CD.
- Balanced — более широкое покрытие для регулярных сканирований.
- Full и специализированные — полный обход и активные проверки, а также точечные сканирования: определение технологий, поиск скрытых путей и т. п.
- Сканирование API — разбирает спецификацию OpenAPI и проверяет описанные в ней маршруты и параметры. См. Сканирование веб-API.
Сканирование инфраструктуры
Пять типов сканирования по IP-адресам, именам узлов, подсетям и диапазонам: обнаружение активов, поиск уязвимостей, OSINT-разведка, проверка установленных обновлений по SSH и SMB/WMI и сканирование образов Docker. Подробнее — в разделе Проверки инфраструктуры.
Возможности платформы
| Возможность | Описание |
|---|---|
| Собственные правила | Правила вашей команды для статического (Semgrep) и динамического (Nuclei) сканирования. См. Собственные правила. |
| Интеграция с DefectDojo | Выгрузка результатов каждого сканера в централизованную систему управления уязвимостями. |
| Интеграция с Securitm | Автоматическая выгрузка отчётов об инфраструктурных сканированиях в SGRC Securitm. |
| Модуль CI/CD | Запуск сканирований прямо из конвейера сборки. |
| База эксплуатируемых уязвимостей | Внутренняя база CVE: приоритет определяют реальные свидетельства эксплуатации, а не одна лишь оценка критичности. |
| Сканирования по расписанию | Регулярные запуски для непрерывного мониторинга. |
| Ручная загрузка отчёта | Импорт отчёта, полученного вне платформы, чтобы все уязвимости хранились в одном месте. |
База эксплуатируемых уязвимостей появилась в этом релизе, а позже на ней выросли сразу несколько возможностей: фильтрация уязвимостей в зависимостях, поиск эксплойтов пентест-агентом и проверка CVE при сканировании инфраструктуры. См. База эксплуатируемых уязвимостей.
Проверено: 2026-08-16