Мост между SAST и фаззингом: как из сработки SAST получить подтверждённую уязвимость

Вот важная новость с фронта ИИ: INFERA 18 минут назад Мост между SAST и фаззингом: как из сработки SAST получить подтверждённую уязвимость Сложный 16 мин 1K Блог компании INFERA Security Информационная безопасность * Разработка под e-commerce * Управление разработкой * Искусственный интеллект Обзор Инструменты статического анализа (SAST) лишь подсвечивают вероятные уязвимости, генерируя гипотезы. Динамическое тестирование (DAST) и фаззинг, напротив, выявляют реальные сбои на работающем приложении и фиксируют вектор атаки, но не указывают на конкретную строку в исходниках. Традиционно эти два подхода существуют в изоляции, образуя методологический разрыв, преодолеть который способен только AppSec-эксперт путем кропотливого ручного триажа.

В этой статье мы расскажем про то, как в INFERA AI. SafeCode уменьшаем поток ложных срабатываний в целом, зачем для этого формируем единый реестр знаний о проекте, и как строим мост от SAST к автоматически подтверждаемой уязвимости. Настоящая проблема – не сканеры, а ложные срабатыванияСканеров сегодня много, и по отдельности они работают неплохо.

Технические детали

Но если начать их использовать для реального повышения защищённости, то оказывается, что на большой кодовой базе инструменты статического анализа выдают тысячи предупреждений в неделю, и большая часть из них – ложные срабатывания (false positive). Сканер честно говорит «здесь подозрительная конструкция», но между «подозрительно» и «реально эксплуатируется» чаще всего возникает пропасть. Эту пропасть закрывает человек.

AppSec-инженер вынужден вручную анализировать код: мысленно выстраивать цепочку прохождения данных от точки входа (entry point) до уязвимого вызова (sink), проверять наличие механизмов фильтрации или санитизации, и лишь затем выносить вердикт реальная это угроза или ложное срабатывание (false positive). Разбор одного такого алерта занимает от пары минут до десятков, если требуется глубоко погрузиться в контекст. При потоке в тысячу срабатываний в неделю компании требуется отдельная команда, которая не исправляет код, а лишь фильтрует шум сканеров.

Иначе это превращается в бесконечный бэклог безопасности, разбор которого растягивается на месяцы или даже годы. Поэтому задача, которую мы решаем, звучит не как «найти побольше», а как резко сократить долю ложных срабатываний, не потеряв настоящие уязвимости. Это принципиально разные задачи.

Отраслевые последствия

Найти больше обычно несложно: достаточно понизить пороги у любого сканера. Найти больше и при этом не утонуть в шуме – вот это сложнее. Ключевая мысль всей статьи: высокая точность не достигается за счёт одного секретного приёма, а состоит из нескольких шагов (слоёв), каждый из которых отрезает часть шума.

А чтобы эти слои работали, нужно то, чего у отдельно взятого сканера просто отсутствует из-за особенностей его архитектуры – единая память о проекте. Но для начала, начнем с того, почему без человека здесь до сих пор не обходились.

Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.