Разработчики платформы GitFlic сделали процесс создания ПО максимально безопасным
Работа с уязвимостями стала полностью управляемой.
Рынок кибербезопасности диктует все больше новых требований. Сейчас уже недостаточно простого поиска уязвимостей в готовых приложениях. Защита данных должна обеспечиваться непосредственно на этапе разработки нового ПО, и тут не обойтись без специализированных инструментов.
Меньше рутины для разработчиков
«Группа Астра» анонсировала новую версию российской DevOps-платформы для работы с кодом GitFlic. С ней можно взаимодействовать как через облако, так и непосредственно в ИТ-контуре заказчика. В свежей версии наиболее сильным изменениям подвергся раздел «Безопасность». По сути, работу с уязвимостями удалось превратить в полностью управляемый процесс. Это дает специалистам возможность проведения ревью-сессий для разграничения возможных уязвимостей на реально подтвержденные угрозы и ложные срабатывания, а их коллеги могут проверить результат по механике, схожей с проверкой запроса на слияние.
«Безопасность улучшена и в самом процессе разработки. Теперь в запросе на слияние отображается не полный список обнаружений, а только те уязвимости, которые вносят или устраняют конкретное изменение. Такой подход снижает нагрузку на разработчиков и ревьюеров: команда видит эффект именно своего кода, быстрее принимает решение о слиянии и не тратит время на разбор унаследованных срабатываний, а дефекты устраняются на самом раннем и дешёвом этапе», – поясняют представители «Группы Астра».
Можно отслеживать состояние каждой версии программы
Отдельное внимание было уделено и проектам с длительным жизненным циклом. Для программ, у которых есть сразу несколько поддерживаемых версий можно создать отдельные LTS-ветки. Это позволяет отслеживать состояние одних и тех же уязвимостей в каждой актуальной сборке по отдельности. Это востребовано у вендоров и корпоративных заказчиков, которые одновременно сопровождают несколько релизов у разных клиентов. Теперь специалисты могут видеть, где потенциальная угроза уже ликвидирована, а где необходимо провести доработки.
Также реализован режим разметки уязвимостей в сессии, ускоряющий массовый разбор обнаружений командой информационной безопасности. Развитие получил и программный интерфейс платформы: добавлены REST-API метод для удаления ветки, методы для работы с переменными, а также методы выдачи и снятия роли администратора в Self-Hosted-инсталляциях.
Соответствие общемировым трендам
Важность постоянного обновления GitFlic переоценить сложно. Подобные решения, которые обеспечивают максимально безопасный процесс разработки, востребованы не только в нашей стране, но и по всему миру. И у России появляются собственные инструменты, которые позволяют не зависеть от зарубежных поставщиков услуг. Это упрощает жизнь, как разработчикам, так и простым гражданам, которые в итоге могут пользоваться более защищенными сервисами.
Сама система GitFlic последовательно эволюционирует на протяжении последних нескольких лет. В 2021 году разработчики завершили процесс бета-тестирования сервиса и начали развивать его как отечественную платформу для работы с исходным кодом. На первом этапе продукт был ориентирован прежде всего на хранение репозиториев и совместное сотрудничество разработчиков. Однако сама концепция платформы предусматривала дальнейшее расширение функционала.
Больше возможностей для улучшения
В 2023 году разработчик GitFlic, компания «РеСолют», вошла в состав «Группы Астра». Это позволило создателям платформы получить дополнительные ресурсы для улучшения своего продукта. Интеграция оказалась стратегически верным шагом, так как в последующие годы на рынке усилилась потребность в инструментах, которые позволят включать контроль качества и защиты в процесс разработки. Создатели GitFlic смогли максимально быстро реагировать на все изменения требований заказчиков.
Последнее обновление платформы лишний раз подтверждает тот факт, что российский рынок создания ПО переходит от использования отдельных средств защиты к комплексным экосистемам безопасной разработки. В ближайшие годы можно ожидать дальнейшего объединения DevOps-, AppSec- и средств управления уязвимостями в единые платформы. Для российских разработчиков такие решения становятся частью инфраструктуры, которая обеспечивает технологическую независимость.
