Инструмент статического анализа кода AppSec.Wave от AppSec Solutions теперь может работать с ПО, написанном на языке 1С. Это изменение позволит применять инструмент кибербезопасности в бизнесе, который активно применяет ПО на основе российского языка программирования.
Программное обеспечение на 1С применяется в финтехе, госсекторе, девелопменте и множестве других отраслей бизнеса, которым важна защищенность чувствительных данных. AppSec.Wave – инструмент статического анализа кода, который поддерживает множество языков программирования, включая JavaScript, Python, Go, C++, Java, PHP, Ruby, C#. Теперь к этому списку добавился российский язык программирования, который требуется при разработке систем, предназначенных для критической инфраструктуры.
Это не набор поисковых паттернов по тексту конфигурации, а полноценный taint-анализ: движок строит дерево вызовов внутри модуля, прослеживает путь от источника не доверенных данных до опасной операции и показывает каждый шаг с указанием файла и номера строки. 1С — это пространство, где сосредоточены финансы, кадровые данные, товарные остатки и персональная информация. Однако «поддержка 1С» в инструментах анализа кода на практике чаще всего сводится к набору поисковых шаблонов по тексту конфигурации: найти вызов известного опасного метода, обнаружить строку с конкатенацией текста запроса, зафиксировать явное отключение проверки прав.
«Такой подход даёт два предсказуемых результата — поток ложных срабатываний и пропуск реальных уязвимостей, — рассказывает рассказал руководитель продукта AppSec.Wave компании AppSec Solutions Александр Заводовский, — Причина проста: уязвимость в 1С почти никогда не выглядит как одна подозрительная строка. Она складывается из нескольких внешне обычных, синтаксически корректных фрагментов кода. Движок работает с потоком данных, а не с текстом. Он строит дерево вызовов внутри модуля и связывает процедуры между собой, размечает источники не доверенных данных, прослеживает распространение значения через присваивания, конкатенации, переименования, а затем фиксирует момент, когда это значение доходит до опасной операции. На выходе система воспроизводит маршрут, каким образом уязвимость появилась».
Ранее AppSec.Wave также был интегрирован с MCP-сервером, чтобы обеспечить легкое взаимодействие с Claude Code, Cursor и другими решениями для анализа уязвимостей в коде на самых ранних этапах разработки приложений. Разработчики, пишущие код с помощью ИИ-сред, могут проводить проверку сгенерированного ПО на уязвимости автоматически. Помимо этого, компания расширила для вайб-кодеров возможности своего анализатора open-source компонентов AppSec.Track для поиска несуществующих или вредоносных сторонних пакетов.
Возврат к списку