«Базис», ведущий российский разработчик ПО управления динамической ИТ-инфраструктурой (входит в ГК «РТК-ЦОД»), представил Basis Repository — платформу для хранения и проверки компонентов ПО по единым правилам безопасности заказчика. Решение позволяет контролировать, какие компоненты доступны командам разработки, и пересматривать разрешение на их использование при появлении новых сведений об уязвимостях.
Платформа ориентирована на организации, применяющие при создании и модернизации приложений стороннее ПО, в том числе компоненты с открытым исходным кодом. Решение обеспечивает координацию действий разработчиков и специалистов по информационной безопасности. В системе осуществляется фиксация результатов проверок и истории принятых решений, что обеспечивает прослеживаемость: можно установить лицо, санкционировавшее применение конкретного компонента, и основания принятого решения. Платформа может быть развёрнута в инфраструктуре заказчика, в том числе в закрытом контуре.
Единые правила для всех команд
Заказчик самостоятельно формирует требования к используемым компонентам, включая их допустимые источники, перечень разрешённых лицензий и запреты. Basis Repository выполняет сопоставление результатов проверки содержимого хранилища с установленными требованиями. Разработчикам предоставляется доступ исключительно к тем программным модулям, которые соответствуют утверждённым правилам либо санкционированы ответственным специалистом в порядке исключения.
Если команде необходим компонент с известной проблемой, уполномоченный сотрудник может временно разрешить его использование. Он указывает причину и срок действия разрешения. В системе сохраняются результаты проверки компонента и сведения о том, кто и на каком основании принял решение.
Источник изображения: «Базис»
Контроль после первой проверки
Проверки компонентов допускается выполнять как в ручном режиме, так и по расписанию. При выявлении новой уязвимости в модуле, ранее получившем разрешение на использование, система позволяет оперативно заблокировать его дальнейшую загрузку из хранилища для всех команд. Порядок реагирования определяется заказчиком: в зависимости от настроек система может автоматически ограничить или сохранить доступ, в том числе с уведомлением ответственных специалистов.
Работа в закрытом контуре
Допускается развёртывание платформы в изолированных сегментах инфраструктуры заказчика. Для работы в закрытом контуре реализован механизм переноса компонентов и данных проведённых проверок. Поддержка актуальности локальных баз знаний осуществляется в соответствии с регламентом, утверждённым заказчиком. Права на управление платформой и согласование файлов разграничиваются по ролям, а значимые действия фиксируются в журнале аудита.
Проверка состава компонентов
Платформа проверяет отдельные компоненты и их наборы, формируя ППК — перечень программных компонентов и их версий. Выявленные уязвимости сопоставляются с Банком данных угроз ФСТЭК России. При передаче набора компонентов предусмотрен подписанный паспорт, который помогает проверить соответствие полученного содержимого проверенному составу.
Учёт лицензий и сроков поддержки
При проверках оцениваются лицензии и сроки поддержки компонентов. Заказчик устанавливает правила применения версий, утративших поддержку. Разрешение на использование может быть пересмотрено из-за новой уязвимости, изменения корпоративных правил либо истечения срока временного разрешения.
Импортонезависимая разработка
Ключевая функциональность Basis Repository реализована на собственном коде «Базиса» и охватывает управление проверками, применение правил допуска, согласование и публикацию компонентов. ПО с открытым исходным кодом задействовано лишь для отдельных задач — хранения и доставки пакетов, идентификации пользователей и ряда технических проверок.
Поддержка разных форматов ПО
Basis Repository поддерживает пакеты Linux в форматах RPM и DEB, контейнерные образы Docker/OCI, пакеты npm, Maven и PyPI, а также бинарные архивы. Управление возможно через веб-портал и API. Для получения опубликованных пакетов и образов используются стандартные системные утилиты.
«Безопасная разработка становится всё более востребованной, но на российском рынке не было подходящего инструмента для хранения компонентов и контроля их использования по единым правилам. Этот запрос бизнеса и стал отправной точкой к созданию Basis Repository. Мы опирались на собственный опыт разработки Basis Digital Energy и взаимодействие с ФСТЭК России. Решение дополнит экосистему "Базиса" и поможет заказчикам снизить риски использования открытого кода», — отметил Давид Мартиросов, генеральный директор «Базиса».
Источник:
