на 84 вредоносные версии 42 пакетов
Через настройки GitHub Actions у TanStack украли токен — и за шесть минут опубликовали заражённые версии пакетов. Ручная сверка зависимостей за таким темпом не успевает.
Постмортем TanStack, 11.05.2026OpenASOC · безопасность приложений
Тысячи находок сканеров — в короткий список того, что исправлять первым.
OpenASOC ставит первыми уязвимости, которые достижимы в вашем коде и уже эксплуатируются, а барьер в CI/CD останавливает опасный выпуск и подписывает вердикт. OpenASOC сводит все проверки кода в один поток: запускает анализаторы кода, зависимостей, контейнеров, IaC и веб-приложений, склеивает дубли и связывает находки между собой. Приоритет — по CVSS, EPSS, KEV и контексту, плюс проверка достижимости уязвимого кода. Барьер в CI/CD останавливает опасный выпуск и подписывает свой вердикт. Работает в вашем контуре.
● on-prem и закрытый контур
● SAML · OIDC · LDAP
● вердикт выпуска · Ed25519
от шума к действию · примерgate
находки анализаторов15 768
после склейки дублей6 120
достижимые412
в работу сегодня53
billing-worker · KEV, уязвимый вызов достижимGATE BLOCK
payments-api · секрет в config.yamlновое в PR
infra/storage.tf · бакет без шифрованияIaC · Checkov
image-resize · уязвимый код не вызываетсянедостижима
✓ вердикт о выпуске подписан Ed25519openasoc gate verify
20анализаторов SAST и поиска секретов в одной очереди
11языков — от Python, Go и Java до C, C++ и C#
9баз уязвимостей, включая БДУ ФСТЭК, — офлайн-пакетами
6языков с проверкой достижимости уязвимого кода
Интерфейс
Так выглядит OpenASOC в работе
Панель безопасности: от тысяч находок анализаторов — к короткой очереди реальных рисков и подписанному вердикту о выпуске.
Демонстрационные данные.
Почему сейчас
Атаки приходят через зависимости и CI/CD. Проверять нужно каждое изменение.
По данным Verizon DBIR 2026, третья сторона участвует в 48% утечек. Чужие пакеты, токены в пайплайнах и ключи в репозиториях стали удобным входом, а отдельные сканеры выдают тысячи разрозненных находок без приоритета. Нужен единый поток: все проверки, одна очередь и решение о выпуске до продакшна.
во второй волне Shai-Hulud
Первая волна в сентябре 2025 года затронула более 500 пакетов, вторая, 24.11.2025, — уже 796. Вчерашняя доверенная зависимость сегодня может оказаться вредоносной.
Kaspersky Securelist, Datadogпоявились в публичном GitHub за 2025 год
Это на 34% больше, чем годом раньше. При этом 64% секретов, найденных в 2022 году, так и не отозваны.
GitGuardian, 2026Как это работает
Анализаторы → одна очередь без дублей → риск → барьер выпуска.
01
Проверка
20 анализаторов SAST и секретов, 6 SCA, Trivy и Grype для образов, Checkov и OPA для IaC, движки DAST и MobSF запускаются из CI или CLI.
02
Склейка
Совпадения от разных анализаторов склеиваются в одну запись, связанные находки объединяются. Команда видит проблему, а не разрозненные отчёты сканеров.
03
Приоритет
Базовый балл учитывает CVSS, EPSS, KEV и контекст, корреляция даёт риск 0–100. Для 6 языков проверяется, достижим ли уязвимый код.
04
Барьер
Барьер в CI/CD решает, можно ли выпускать; в PR — только новые находки. Вердикт подписан Ed25519 и проверяется командой openasoc gate verify.
Возможности
Не ещё один сканер, а оркестратор всех проверок приложения.
20 анализаторов на 11 языках
Semgrep, gosec, bandit, SpotBugs, PVS-Studio, Joern, Cppcheck, Infer и другие — для Python, Go, JavaScript, TypeScript, PHP, Ruby, Kotlin, Java, C, C++ и C#. Секреты ищут gitleaks и TruffleHog.
Зависимости, SBOM и VEX
6 SCA-анализаторов: Trivy, Grype, Syft, OWASP Dependency-Check, ORT и ScanCode. Состав ПО — в CycloneDX и SPDX, статус уязвимостей — в OpenVEX и CSAF.
Образы, IaC, веб и мобильные
Контейнеры — Trivy и Grype. IaC — Checkov и политики OPA/Rego для Terraform, CloudFormation, Kubernetes и Helm. DAST — 14 слотов движков: ZAP, Playwright, Nuclei, ffuf, sqlmap-safe и другие. Мобильные сборки — MobSF.
Вызывается ли уязвимый код на самом деле
Для C/C++, C#, Go, Java, JS/TS и Python OpenASOC проверяет, достижим ли уязвимый код из вашего приложения, и выносит один из 10 вердиктов. Команда начинает с того, что действительно вызывается.
Риск по эксплуатируемости, а не только по CVSS
Формула открыта: базовый балл 0–10 = 0,4·CVSS + 0,35·EPSS·10 + 0,25·KEV·10 + контекст. Корреляция находок даёт итоговый риск 0–100 и 6 уровней доказательности.
Одна проблема — одна запись
Совпадающие находки разных анализаторов склеиваются, связанные — объединяются по 11 типам связей. Для спорных дублей можно включить LLM-судью.
Барьер выпуска с подписью
Пороги по SAST, SCA, секретам, контейнерам, IaC, DAST, мобильным и лицензиям. В PR — режим «только новое», чтобы старый долг не останавливал разработку. Вердикт подписан Ed25519.
Там, где уже работают команды
GitHub Action, шаблоны GitLab, шаг Azure Pipelines; статусы и комментарии в Bitbucket и Azure DevOps. Задачи — в Jira, ServiceNow, YouTrack и Яндекс Трекер, уведомления — в Slack, Teams, PagerDuty, Telegram и почту.
Доказательства для проверяющих
Журнал с защитой от подмены, отчёты в PDF, XLSX, CSV, JSON и ZIP, события в SIEM — подписанным веб-хуком. Пакеты доказательств по SOC 2, ISO 27001, PCI DSS 4.0.1 и 152-ФЗ — 23 контроля.
Кому полезно
AppSec видит риск. Разработчик — свою задачу. Аудитор — доказательства.
AppSec и CISO
Одна очередь из всех анализаторов без дублей, риск 0–100 по CVSS, EPSS, KEV и контексту, проверка достижимости, пороги барьера по каждому типу проверок и 9 баз уязвимостей, включая БДУ ФСТЭК.
Разработчикам и DevOps
Проверка — готовым шагом в GitHub, GitLab и Azure Pipelines или через CLI в любом пайплайне. В PR — только новые находки, задачи — сразу в трекер. Плагин VS Code «OpenASOC Guard» и экспорт в SARIF.
Аудиту и комплаенсу
Журнал с защитой от подмены, SBOM в CycloneDX и SPDX, VEX, подписанный вердикт о каждом выпуске и пакеты доказательств по SOC 2, ISO 27001, PCI DSS 4.0.1 и 152-ФЗ.
Развёртывание
Один установщик — от первого запуска до обновления с откатом.
- Установка
- Установщик
openasoc: init, generate, pull, up, down, status, logs, doctor, migrate, backup, restore, set-admin-password; обновлениеupgrade --toсо снапшотом и автооткатом - Варианты
- Docker Compose (48 контейнеров) или Helm-чарт для Kubernetes; образы проверяются cosign
- Контур
- On-prem, в том числе закрытый контур: базы уязвимостей приходят подписанными офлайн-пакетами
- Ресурсы
- Память от 8 ГБ, диск от 20 ГБ — минимум по проверке установщика. Видеокарта не нужна
- Базы уязвимостей
- NVD, EPSS, KEV, OSV, GHSA, БДУ ФСТЭК, CNVD, TrivyDB, GrypeDB
- CI/CD и CLI
- GitHub Action, шаблоны GitLab, шаг Azure Pipelines; статусы и комментарии в Bitbucket и Azure DevOps. CLI: scan, gate, sbom, container, iac, mobile, export в CSV, JSON и SARIF. Плагин VS Code «OpenASOC Guard»
- Трекеры и уведомления
- Jira, ServiceNow, YouTrack, Яндекс Трекер; Slack, Teams, PagerDuty, Telegram, SMTP
- SIEM
- JSON-веб-хук с подписью Ed25519
- Вход и роли
- SAML, OIDC, LDAP, Keycloak, SCIM, MFA (TOTP, WebAuthn); роли Supervisor, App Admin, security_admin, security_analyst, team_lead, developer и свои; мультиарендность
- Отчёты и аудит
- PDF, XLSX, CSV, JSON, ZIP; журнал с защитой от подмены; пакеты доказательств SOC 2, ISO 27001, PCI DSS 4.0.1, 152-ФЗ — 23 контроля, не сертификация
- Лицензия
- Планы community, standard, professional и enterprise; набор анализаторов включается лицензией
Пилот за 30 дней
Через месяц — отчёт: что в вашем коде реально опасно и что остановил бы барьер.
ШАГ 01
Задача
Выбираем репозитории и пайплайны, согласуем критерии успеха с AppSec и разработкой.
ШАГ 02
Установка
Разворачиваем в вашем контуре установщиком openasoc — в первые дни пилота.
ШАГ 03 · 30 ДНЕЙ
Пилот
Проверяем ваши репозитории в режиме наблюдения: барьер выносит вердикт, но не блокирует merge.
ШАГ 04
Решение
Отчёт: находки до и после склейки, достижимые уязвимости, что остановил бы барьер, — и решение о промышленном запуске.
От вас — сервер в контуре, доступ к репозиториям и CI. Для закрытого контура базы уязвимостей передаём подписанными офлайн-пакетами.
Вопросы
Что обычно спрашивают AppSec и DevOps
Насколько точен SAST в OpenASOC?
Собственного замера точности у нас нет, и цифр мы не обещаем. OpenASOC не заменяет анализаторы, а сводит 20 из них в одну очередь, склеивает дубли и ставит приоритет. Шум на вашем коде измеряем в пилоте: сколько находок до склейки, сколько после и сколько из них достижимы.
Есть ли интеграция с Jenkins?
Готовой интеграции с Jenkins нет. Есть GitHub Action, шаблоны GitLab и шаг Azure Pipelines, а в других системах сборки проверку и барьер запускают через CLI — командами scan и gate как обычный шаг пайплайна.
Не остановит ли барьер всю разработку из-за старого долга?
Нет. В PR барьер может учитывать только новые находки, а пороги задаются отдельно для SAST, SCA, секретов, контейнеров, IaC, DAST, мобильных сборок и лицензий. В пилоте барьер работает в режиме наблюдения и merge не блокирует.
Работает ли OpenASOC без интернета?
Да. Базы уязвимостей, включая БДУ ФСТЭК, приходят подписанными офлайн-пакетами, образы платформы проверяются cosign. Видеокарта не нужна.
Как передать события в SIEM?
Через JSON-веб-хук с подписью Ed25519: получатель может проверить, что событие пришло от OpenASOC и не изменено. Форматов CEF, syslog и LEEF нет.
Пакеты доказательств — это сертификация?
Нет. Пакеты по SOC 2, ISO 27001, PCI DSS 4.0.1 и 152-ФЗ — всего 23 контроля — собирают свидетельства для аудитора и ускоряют подготовку к проверке, но сертификацией не являются.
Поддерживается ли ГОСТ Р 56939?
Отдельного профиля под ГОСТ Р 56939 нет. Из коробки есть БДУ ФСТЭК, SBOM, журнал с защитой от подмены и подписанный вердикт о каждом выпуске; как встроить их в ваш процесс, разберём в пилоте.
Пилот OpenASOC
Покажем на ваших репозиториях, а не на демо-проекте.
Оставьте заявку — согласуем репозитории, пайплайн и критерии успеха.
Заявка отправлена
Свяжемся с вами по указанной почте, чтобы согласовать пилот OpenASOC.