Обновленный PT Application Inspector – анализатор безопасности кода
Компания Positive Technologies представила новую версию своего инструмента для анализа защищенности исходного кода – PT Application Inspector 2.4. Обновленная версия содержит более 60 важных изменений, нацеленных на повышение эффективности и простоты использования продукта. В частности, добавлена подсветка синтаксиса, улучшен вывод диагностической информации, а проверка всех уязвимостей исходного кода на развернутом приложении теперь выполняется одним нажатием.
Как поясняют разработчики, в исходном коде могут быть обнаружены сотни уязвимостей, их проверка в собранном приложении требует много времени. Автоматическая же валидация уязвимостей исходного кода и другие новые функции позволяют сократить трудозатраты на 20–30%.
Еще одно важное изменение в версии 2.4 – новый мастер отчетов. Пользователь может создавать отчеты в форматах OWASP Top 10 и PCI DSS, а также отчеты, содержащие только автоматически подтвержденные уязвимости. Новая версия позволяет генерировать свои типы отчетов с помощью XSLT. Развитие этой функциональности помогает при сертификации кода упростить выполнение требований регулирующих органов, в том числе РС БР ИББС 2.6, приказов ФСТЭК № 17 и 21, требований об отсутствии НДВ.
Развивается и база знаний PT Application Inspector: появилась поддержка дополнительных типов уязвимостей, таких как Cookie Injection, ORM Injection, LINQ Injection, time-based инъекций для MSSQL, HTTP Request Splitting.
Улучшена совместимость с различными языками программирования и платформами: например, увеличена глубина и скорость анализа веб-приложений на языке PHP за счет полностью обновленного ядра поиска уязвимостей в PHP-коде; расширена поддержка библиотеки Hibernate для языка Java, что позволяет получить более точные данные об использующих ее уязвимостях Web-приложений; добавлена поддержка C# 6.
Для безопасной проверки Web-приложений продукт использует blackbox-сканер, который осуществляет динамический анализ Web-приложения методом черного ящика на тестовом стенде. Эффективность и удобство такого сканирования выросли благодаря использованию произвольного набора заголовков и аутентификации по cookie. Кроме того, оптимизирован поиск SQL-инъекций при blackbox-сканировании.