«Базис», российский разработчик ПО управления динамической ИТ-инфраструктурой (входит в ГК «РТК-ЦОД»), представил Basis Repository — платформу для хранения и проверки компонентов ПО по единым правилам безопасности заказчика. Решение позволяет контролировать, какие компоненты доступны командам разработки, и пересматривать разрешение на их использование при появлении новых сведений об уязвимостях. Платформа разворачивается в инфраструктуре заказчика, в том числе в закрытом контуре.
Новый продукт предназначен для компаний, которые при создании и обновлении приложений используют стороннее ПО, включая open source компоненты. Платформа помогает разработчикам и ИБ-специалистам согласовывать их использование. Результаты проверок и история решений сохраняются в системе, позволяя видеть, кто и на каком основании разрешил использование конкретного компонента.
Заказчик сам определяет требования к компонентам: из каких источников их получать, какие лицензии допустимы и какие использовать нельзя. Basis Repository сопоставляет результаты проверки хранилища с этими требованиями. Разработчики получают из него только ПО, которое соответствует правилам или разрешено ответственным специалистом в порядке исключения.
Если команде необходим компонент с известной проблемой, уполномоченный сотрудник может временно разрешить его использование. Он указывает причину и срок действия разрешения. В системе сохраняются результаты проверки компонента и сведения о том, кто и на каком основании принял решение.
Проверки можно повторять вручную или по расписанию. Если в ранее разрешенном компоненте обнаружится новая уязвимость, его дальнейшую загрузку из хранилища можно закрыть сразу для всех команд. Реакцию задает заказчик: в зависимости от настроек система может автоматически ограничить или сохранить доступ, в том числе с уведомлением ответственных специалистов.
Платформу можно развернуть в изолированных сегментах инфраструктуры заказчика. Для закрытого контура предусмотрен перенос компонентов и данных проверки. Актуальность локальных баз поддерживается по регламенту заказчика. Права на управление платформой и согласование файлов разграничиваются по ролям, а значимые действия фиксируются в журнале аудита.
Платформа проверяет отдельные компоненты и их наборы. По результатам анализа формируется ППК — перечень обнаруженных программных компонентов и их версий. Сведения о выявленных уязвимостях сопоставляются с записями Банка данных угроз ФСТЭК России. При передаче набора компонентов предусмотрен подписанный паспорт, который помогает проверить соответствие полученного содержимого проверенному составу.
При проверках учитываются лицензии и сроки поддержки компонентов. Заказчик задает правила использования версий, которые больше не поддерживаются. Основанием для пересмотра разрешения на использование могут стать новая уязвимость, изменение правил компании или окончание срока временного разрешения.
Ключевая функциональность Basis Repository реализована в собственном коде «Базиса». Она включает управление проверками, применение правил допуска, согласование и публикацию компонентов. ПО с открытым исходным кодом используется только для отдельных задач: хранения и доставки пакетов, идентификации пользователей и некоторых технических проверок.
Basis Repository поддерживает пакеты Linux в форматах RPM и DEB, контейнерные образы Docker/OCI, пакеты npm, Maven и PyPI, а также бинарные архивы. Управление доступно через веб-портал и API. Для получения опубликованных пакетов и образов используются стандартные системные утилиты.
«Безопасная разработка становится все более востребованной, но на российском рынке не было подходящего инструмента для хранения компонентов и контроля их использования по единым правилам. Этот запрос бизнеса и стал отправной точкой к созданию Basis Repository. Мы опирались на собственный опыт разработки Basis Digital Energy и взаимодействие с ФСТЭК России. Решение дополнит экосистему „Базиса“ и поможет заказчикам снизить риски использования открытого кода», — отметил Давид Мартиросов, генеральный директор «Базиса».
