Axiom JDK внедрила Svace для глубокого анализа кодовой базы JDK
- CNews FORUM 12 ноября
- CNews AWARDS 12 ноября
- Школа Роста
- Российский рынок облаков за 20 лет
- 30 лет рынку ERP в России
- Главные
ИТ-сценарии 2026 - Цифровизация
- Импортозамещение
- Безопасность
- ИТ в госсекторе
- ИТ в банках
- ИТ в торговле
- Телеком
- Интернет
- ИТ-бизнес
- Рейтинги
- Инфографика
|
Компания Axiom JDK (АО «Аксиом») сообщила о внедрении статического анализатора Svace и платформы управления предупреждениями Svacer, которые были разработаны Институтом системного программирования им. В.П. Иванникова Российской академии наук (ИСП РАН). Внедрение Svace позволило подтвердить соответствие JDK установленным требованиям безопасности для прохождения сертификации. В ходе анализа 7 млн строк кода с помощью Svace было обнаружено и исправлено около 1,2 тыс. дефектов.
Инструменты SAST (Static Application Security Testing) используются для проверки кода на этапе разработки и позволяют заранее обнаружить уязвимости, которые должны соответствовать новым требованиям, а именно ГОСТу Р 71207—2024. Ранее компания Axiom JDK использовала мировые SAST-решения для поддержания безопасности и стабильности своего JDK. С изменением требований к сертификации ПО перед инженерной командой встала задача подобрать инструмент, который позволил бы учитывать требования сертификации и при этом обеспечил работу на высоком уровне в сложной и объемной кодовой базе с сохранением глубины поиска дефектов.
В результате был выбран сложный многоуровневый подход к безопасности с использованием нескольких SAST-инструментов с учетом масштаба кодовой базы. Это обусловлено тем, что разные движки анализа имеют уникальную внутреннюю механику и сильные стороны в обнаружении дефектов. Статический анализатор Svace был интегрирован в качестве основного для глубокого межпроцедурного анализа. К нему были добавлены другие анализаторы и open-source-линтеры для отслеживания специфических сценариев.
Для снижения нагрузки на разработчиков Axiom JDK внедрила структурированный процесс разметки результатов анализа с использованием Svacer и инструментов машинного обучения. Эта комбинация структурированного рабочего процесса Svacer и ML-классификации позволила команде эффективно обрабатывать тысячи предупреждений, отделяя критические уязвимости от низкоприоритетных замечаний к коду. Сейчас в этом отлаженном процессе один разработчик в среднем проверяет 50 срабатываний в день.
Константин Аксёнов, «Флант»: Kubernetes перестал быть просто средой для контейнеров Цифровизация
«Статический анализ — важная часть процесса разработки безопасного программного обеспечения. В компании применяем эшелонированный подход: делаем статический анализ с использованием нескольких инструментов, включая open-source-решения. Таким образом повышается перекрытие поиска дефектов, так как результаты разных анализаторов лишь частично пересекаются. Svace помогает нам обнаруживать дефекты на стадии разработки и создавать безопасный JDK, который соответствует новым требованиям сертификации», — сказал Роман Карпов, генеральный директор Axiom JDK.
«Команда Axiom JDK вносит значительный вклад в развитие российского Java-сообщества, и мы высоко ценим наше сотрудничество. Внедрение практик безопасной разработки требует как высокой квалификации команды безопасности, так и проверенных инструментов. Нам приятно, что разработанный в институте статический анализатор помогает партнерам поддерживать высокий уровень РБПО, в чем большая заслуга не только нас, реализовавших в анализаторе современные научные методы, но и наших коллег, у которых блестящая команда разработчиков и внедренцев РБПО», — отметил Дмитрий Журихин, старший научный сотрудник ИСП РАН.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.