Анализ защищённости программного обеспечения

Инструментальные исследования программного обеспечения на ошибки, уязвимости и недекларированные возможности — по требованиям ФСТЭК России и признанным международным методикам.

Что мы проверяем в программном обеспечении

Мы исследуем программу так, как это сделал бы злоумышленник, — но по формальной методике и с документированием каждого шага. Задача: найти ошибки и уязвимости, которые позволяют получить доступ к данным или нарушить работу системы, а также недекларированные возможности — функции, которых по документации быть не должно.

Работаем и с веб-приложениями, и с мобильными, и с серверным ПО, и с прикладными системами вроде 1С. Исследование проводим по исходному коду, по собранному приложению или комбинированно — в зависимости от того, что вы можете предоставить.

Результат — отчёт с перечнем найденного, оценкой критичности, доказательствами воспроизведения и конкретными рекомендациями разработчику. При необходимости повторно проверяем, что замечания устранены.

Кому это нужно

Чаще всего исследование заказывают в одной из пяти ситуаций.

разработчикам — перед сдачей продукта заказчику или выходом в продажу
заказчикам ПО — чтобы проверить, что приняли безопасный продукт
при включении ПО в реестр отечественного программного обеспечения
если требования по безопасной разработке прописаны в контракте
после инцидента — установить, через что именно проникли

По каким документам работаем

Методика выбирается под задачу — от требований регулятора до отраслевых стандартов безопасной разработки.

Приказ ФСТЭК России № 76

Требования по безопасности информации, устанавливающие уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий (от 2 июня 2020 г.)

Методика выявления уязвимостей и НДВ

Методический документ «Методика выявления уязвимостей и недекларированных возможностей в программном обеспечении», утверждён ФСТЭК России 25 декабря 2020 года.

ГОСТ Р 56939-2024

«Защита информации. Разработка безопасного программного обеспечения. Общие требования» — национальный стандарт, утверждён приказом Росстандарта от 24 октября 2024 г. № 1504-ст.

OWASP MASVS

Mobile Application Security Verification Standard — применяем при динамическом анализе мобильных приложений для iOS и Android.

CWE Top 25

Перечень наиболее опасных типов дефектов программного обеспечения — используем как ориентир при анализе кода.

OWASP API Security Top 10

Проверка программных интерфейсов: авторизация на уровне объектов, избыточные данные в ответах, отсутствие ограничений на запросы и другие типовые проблемы.

Как проходит исследование

Объём и срок зависят от размера кода и количества функций — назовём после знакомства с продуктом.

Постановка задачи

Определяем цель: сдача заказчику, требования контракта, подготовка к сертификации или проверка после инцидента. От этого зависит методика и глубина.

Статический анализ

Изучаем исходный код и зависимости: небезопасные конструкции, работа с вводом, хранение секретов, устаревшие библиотеки с известными уязвимостями.

Динамический анализ

Запускаем приложение на стенде и проверяем в работе: аутентификацию и разграничение прав, обработку запросов, шифрование трафика, поведение API.

Отчёт и повторная проверка

Передаём отчёт с описанием, критичностью и способом воспроизведения каждой находки. После доработок проверяем, что уязвимости закрыты.

Безопасная разработка

ГОСТ Р 56939-2024 требует не только безопасного кода, но и прослеживаемости самого процесса разработки. Проверяющий должен пройти всю цепочку — требование, задача, коммит, ревью, сборка, зарегистрированный дефект, исправление — и увидеть подтверждающие артефакты на каждом шаге. Если задачи ведутся «на словах», а история изменений не связана с требованиями, показать это невозможно.

Помогаем выстроить такой процесс и подготовиться к проверке: связать требования с задачами и изменениями кода, ввести обязательное ревью и регистрацию дефектов, описать регламенты и собрать доказательную базу. Это востребовано и при сертификации: при сертификации процессов безопасной разработки средств защиты информации ФСТЭК России ориентирует на ГОСТ Р 56939-2024 (приказ ФСТЭК России № 230 от 30.06.2025).

Частые вопросы

Не нашли ответ — напишите на info@gosttech.ru, ответим в течение рабочего дня.

Не обязательно. Исследование проводим по исходному коду, по собранному приложению или комбинированно — в зависимости от того, что вы можете предоставить. Глубина анализа выше, когда код доступен: часть дефектов видна только в исходниках и зависимостях. Если кода нет, работаем с собранным приложением и его поведением на стенде.

Целью. Здесь задача — найти и устранить уязвимости до инцидента: отчёт адресован разработчику и владельцу продукта. Судебная экспертиза отвечает на вопросы суда или сторон спора и оформляется как заключение эксперта — этим занимаются коллеги из ГОСТ ЭКСПЕРТ.

Да. Повторная проверка устранения замечаний входит в работы по договорённости: после ваших доработок мы проверяем каждую находку из отчёта и фиксируем, что она закрыта. Объём повторной проверки определяем вместе на этапе постановки задачи.

Поможем с проверкой защищённости продукта и приведением процесса разработки к требованиям ГОСТ Р 56939-2024: прослеживаемость от требования до исправления, ревью, регистрация дефектов, регламенты и артефакты. Решения о включении программного обеспечения в реестр принимает Минцифры России.

Обсудим вашу задачу?

Расскажите, что нужно защитить или проверить, — предложим объём работ и оценку. Не уверены, с чего начать, — начните с аудита.

Бесплатная оценка задачи
NDA — до обсуждения деталей
Фиксация сроков и стоимости в договоре

Напишите нам: info@gosttech.ru