✈️ На кибербитве Standoff 11 в одном из сегментов цифрового государства F располагалась сеть IT-отдела авиакомпании, принадлежащей транспортной компании Heavy Logistics.

По легенде у отдела разработки был выстроен процесс безопасной разработки: код проверялся с помощью PT Application Inspector.

🥷 Командам атакующих требовалось внедрить «закладку» в исходный код разрабатываемого приложения и сделать так, чтобы для SAST-анализатора она выглядела безопасной. В случае успеха они могли бы выполнить произвольный код на удаленном сервере компании.

Команде True0xA3 удалось реализовать это недопустимое событие. Подробнее о том, как они смогли обойти PT Application Inspector и какие попытки предпринимали другие команды — рассказываем в нашем блоге на Хабре (задача оказалась не из простых!).

💡 Во время кибербитвы ни один реальный PT Application Inspector не пострадал. Ситуация была смоделирована специально для Standoff 11 и обойти продукт получилось только за счет заложенных в кибербитву сценариев возможных атак.

Кстати, некоторые этичные хакеры назвали это задание одним из самых интересных на прошедшем Standoff 😎

#Standoff11 #PositiveПродукты #PTAI

🛠 Устранить уязвимости в коде веб-приложения на этапе разработки — дешевле и проще, чем разбираться с последствиями их эксплуатации.

В прошлом году мы выложили в открытый доступ плагины для IDE, которые помогают находить уязвимости как можно раньше. С тех пор работа над развитием инструментов для коллективной разработки не прекращалась.

🔥 21 июня в 14:00 наши эксперты представят IDE-плагины версии 2.0 и PT Application Inspector 4.4. Теперь выявлять уязвимости в коде веб-приложений с помощью анализатора от Positive Technologies, обмениваться результатами и вносить изменения можно непосредственно в среде разработки.

Важные обновления:

➡️ обеспечена возможность командной работы благодаря интеграции с плагинами IDE;

➡️ организована работа с результатами анализа на уязвимости через Web IDE с помощью расширения для VSCode.

🔗 Регистрируйтесь на наш вебинар, чтобы узнать больше подробностей.

#PositiveTechnologies #PTAI

👁 Представляем новую версию системы анализа защищенности кода приложений PT Application Inspector — 4.7

Коротко о ключевых обновлениях:

✅ Мы добавили новый модуль для языка C# с поддержкой работы на Linux. Теперь все доступные в продукте языки работают и на Windows, и на Linux. Это позволит отечественным компаниям полностью отказаться от Windows, а также перейти на Docker-контейнеры.

✅ Появилась возможность сканировать несколько языков в рамках одного проекта: это позволяет быстрее получать результаты анализа, избавляя пользователей от необходимости выполнять отдельные сканирования для фронтенда и бэкенда.

✅ Теперь продукт поддерживает Ruby — еще один популярный язык программирования.

✅ Языки Go и Java получили обновленные компоненты в составе JSA — это универсальный и производительный модуль собственной разработки, который мы непрерывно развиваем.

💬 «Архитектурно JSA построен таким образом, что есть один общий компонент для всех языков, который реализует алгоритмы анализа, и есть отдельные модули для поддержки конкретного языка со своей спецификой. За счет этого мы можем гораздо быстрее добавлять поддержку новых языков и технологий при сохранении высокого уровня качества анализа», — отметил Антон Володченко, руководитель продукта PT Application Inspector.

PT Application Inspector 4.7 уже доступен для пользователей. Познакомиться с продуктом ближе вы можете, оставив заявку на нашем сайте.

#PTAI
@Positive_Technologies

😶 Продолжаем рассказывать о плагинах PT Application Inspector для IDE, без которых не обойтись при безопасной разработке

Хотим сказать большое спасибо за обратную связь, благодаря которой мы улучшили расширения и для локального применения, и для использования в режиме интеграции с сервером PT Application Inspector. Рады, что можем делать наш продукт лучше вместе с вами — его пользователями ❤️

На вебинаре 6 февраля в 14:00 поговорим:

🔵про отправку локальных результатов сканирования на сервер PT Application Inspector;
🔵получение результатов анализа с сервера прямо в IDE;
🔵автоматическую синхронизацию результатов сканирования;
🔵запуск сканирования из IDE на сервере;
🔵обновление исходного кода проекта из плагинов на сервере.

Готовьте ваши вопросы, ждите инсайтов и не забудьте зарегистрироваться заранее.

#PTAI
@Positive_Technologies

❌ МТС Банк говорит «нет» уязвимостям еще на этапе разработки

В этом ему помогает PT Application Inspector, который проверяет безопасность исходного кода финтех-сервисов банка.

Наш продукт способен превентивно находить и устранять слабые места в приложениях. Например, он выявляет конфиденциальные данные — пароли, токены и API-ключи, — которые при попадании в руки злоумышленников могут нанести компании серьезный ущерб.

Для финансового сектора это особенно актуально: в 2025 году отрасль вошла в тройку лидеров по количеству кибератак. Оно и неудивительно: банки хранят и обрабатывают огромные объемы конфиденциальной информации, которая остается одной из главных целей злоумышленников.

Чтобы снизить эти риски, МТС Банк после пятимесячного пилотного проекта принял решение внедрить PT Application Inspector. За время тестирования эффективность обнаружения уязвимостей выросла в 1,5 раза. Эксперты банка отметили высокую скорость аудита, максимально полное покрытие и минимальное количество ложных срабатываний.

Сегодня продукт уже встроен в процессы разработки систем дистанционного обслуживания для физических и юридических лиц. Например, с его помощью обеспечивается высокая надежность кода мобильного приложения банка. В ближайших планах — настройка плагинов для интегрированных сред разработки (IDE).

#PTAI
@Positive_Technologies

Прокачали PT AI за счет AI

С помощью нашей AppSec-платформы PT Application Inspector разработчики и специалисты по кибербезу находят уязвимости в коде программ и их компонентов — от слабых мест вайбкодинга до «закладок», которые могли оставить случайно или со злым умыслом.

На одного AppSec-инженера в компании обычно приходится около 500 разработчиков, а за неделю набираются тысячи потенциальных уязвимостей. На их разбор может уходить до 90% рабочего времени, но далеко не все из них окажутся реальными.

При этом специалистам приходится работать с разными языками программирования и постоянно переключаться между проектами. То есть вникнуть во все — на грани невозможного.

Чтобы сделать жизнь этих ребят легче, мы добавили ИИ-ассистента PT Naira в PT AI 😎

Он берет на себя рутинную часть работы — первичный разбор и сортировку найденных уязвимостей. То есть занимается ИИ-триажем.

Оценивать его только по общей точности было бы неправильно: пропустить реальную уязвимость гораздо хуже, чем не отсеять ложное срабатывание. Поэтому мы отдельно проверяли, насколько хорошо ассистент распознает реальные проблемы и отсекает ложные, помогая сократить нагрузку на AppSec-инженера.

На тестах ассистент проверил больше 3 тысяч предупреждений: верно распознал 94% реальных уязвимостей и отсеял 30% ложных срабатываний. В 75% случаев его выводы совпали с мнением AppSec-эксперта. Каждую задачу проверяли пять раз и засчитывали результат, только если ответ был верным во всех пяти случаях.

Как это работает 🧐

Пример — на скрине. Помощник определяет, опасна уязвимость или нет, кратко объясняет суть проблемы и готовит аргументы для обсуждения с разработчиками. При этом можно воспользоваться фильтрами по классам вердиктов.

Модель развернута и работает в нашем защищенном облаке: данные не передаются третьим лицам. Компаниям также не придется покупать дорогие и дефицитные графические ускорители — вся тяжелая работа сделана на нашей стороне.

Ассистент уже доступен 👨‍💻

До 1 марта 2027 года базовый ИИ-триаж доступен бесплатно для всех пользователей PT AI. А если нужна расширенная версия — с автоматической проверкой прямо во время сканирования, — можно оставить заявку на нашем сайте или обратиться к партнеру.

#PTAI
@Positive_Technologies