Vulnify
Сила доказательства и охват
Видно, чем подтверждена находка, насколько уверенно и какая поверхность проверена. Слабый сигнал остаётся слабым — его не выдают за доказанный.
AppSec-платформа для вашего контура
Находка, которую можно воспроизвести. Путь исправления, который видно команде.
Vulnify помогает команде ИБ пройти путь от проверки приложения до обоснованного решения: увидеть фактический сигнал, оценить силу доказательства, передать работу владельцу и повторно проверить результат. Динамический анализ, анализ кода и анализ зависимостей работают в инфраструктуре заказчика.
Экран находки на этой странице — схема на условных данных: что подтверждено, чем и что ещё осталось проверить. Настоящий интерфейс покажем на демо.
Blind SQL Injection · time-based
GET /api/orders?id=
critical
proof: confirmed
proven
lifecycle: confirmed
Запрос
базовый
GET /api/orders?id=1атакующий
GET /api/orders?id=1' AND SLEEP(5)-- -Меняется только значение параметра — остальной запрос тот же.
Ответ
базовый200 · 96 ms
атакующий200 · 5 118 ms
повтор200 · 5 104 ms
Тело ответа одинаковое: вывод опирается на время, а не на текст страницы.
Разница
задержка+5,0 с только под payload
повторзадержка воспроизвелась
prooftiming, двойное подтверждение
связь с SASTweak — нужна проверка аналитиком
Уровень уверенности объяснён, а слабая связь с кодом не выдаётся за доказанную.
Дальше
владелецpayments-team
срок7 дней
задачав трекере команды
re-testпосле исправления
Не проверено: тот же параметр под ролью администратора — нет тестовой учётной записи.
Как это работает
Посмотрите на одну находку так, как её увидит ваша команда
Та же SQL-инъекция — от обнаружения до повторной проверки. На каждом шаге видно, что установлено, чем это подтверждено и чего пока не хватает.
Ценность не в списке уязвимостей, а в управляемом изменении системы.
-
01 / DETECT
Обнаружить
Браузерный обход и профили входа строят карту маршрутов, ролей и параметров, а DAST проверяет их на работающем приложении. Если есть доступ к коду, SAST и SCA добавляют свои сигналы. Снимок покрытия фиксирует, что было обойдено и проверено.
-
02 / VALIDATE
Доказать
Сохраняются базовый и атакующий запросы и ответы. Слепые уязвимости подтверждаются повторным замером времени или откликом на OAST-коллектор. У находки видны уровень уверенности и эксплуатируемость, а связи с сигналами SAST и SCA — с силой связи.
-
03 / ASSIGN
Назначить
Аналитик принимает решение по находке. У неё появляются владелец, приоритет и срок, а задача уходит туда, где команда уже работает: Jira, GitLab, GitFlic, GitHub, Bitbucket или 1С. Владельцем может быть и внутренняя команда, и поставщик системы.
-
04 / FIX
Исправить
Разработчик получает воспроизводимые шаги: для DAST — запросы и ответы, для SAST — место в коде, для SCA — версию компонента и безопасное обновление. Обсуждение и статусы остаются рядом с доказательством.
-
05 / RE-CHECK
Проверить
Повторный скан показывает, воспроизводится ли уязвимость. История статусов фиксирует исправление, вернувшаяся уязвимость снова открывает находку, а опубликованная версия отчёта сохраняет состояние на дату выпуска.
Для команды
Меньше споров о находках. Яснее путь к закрытию риска.
Vulnify рассчитан на команду ИБ, которая отвечает за веб-приложения, API и 1С нескольких команд и держит данные в своём контуре. Одна и та же находка отвечает на вопросы трёх ролей.
Шаги, которые можно повторить
Запросы и ответы, место в коде или версия компонента — рядом с находкой и в задаче трекера. Не нужно переспрашивать, как это воспроизвести.
Владелец, срок, повтор, отчёт
У находки есть владелец и срок. Повторный прогон показывает, что исправлено, а версия отчёта фиксирует состояние на дату публикации.
Развёртывание
Проверка там, где находятся ваши данные
Vulnify разворачивается на ваших серверах: сканеры, коллектор OAST-откликов, база находок и хранилище доказательств работают в вашей инфраструктуре. Доступы и границы активного сканирования согласуются до запуска.
Ваш контур
Vulnifyвеб-интерфейс, API, очередь находок и отчёты
СканерыDAST, SAST, SCA
OAST-коллекторвнеполосные отклики
Хранилищебаза, доказательства, версии отчётов
подключается к
ваши приложения и API
репозитории и CI
трекер
LDAP и SSO
Исходящие соединения
- Обновления продукта и лицензия — подписанные пакеты и ответы сервера
- Фиды уязвимостей для анализа зависимостей
- AI-помощник — по желанию: любая модель с OpenAI-совместимым API, в том числе развёрнутая у вас
Точный список адресов и портов — в требованиях к развёртыванию. Пришлём их до технического созвона.
Образ виртуальной машины
Поставка — образ ВМ в форматах OVA, VMDK и QCOW2 с подписанным манифестом и SBOM. Требования к серверам и сети согласуем до установки.
Обновления с откатом
Новая версия приходит подписанным пакетом. Агент обновлений проверяет подпись, делает резервную копию базы и конфигурации, после установки проверяет работоспособность и откатывает версию, если проверка не прошла.
Доступ и изоляция
RBAC поверх дерева компаний и проектов, вход через LDAP, OIDC и OAuth. Находки и отчёты разных команд изолированы друг от друга.
Интеграции
Вписывается в ваш процесс
Три сценария, которые обычно нужны первыми. Каждое подключение настраивается в интерфейсе и проверяется тестом соединения.
Скан в пайплайне
Проверка запускается из пайплайна или через CLI, а результат возвращается в сборку в формате JUnit или SARIF.
GitLab CIGitHub ActionsGitFlic CICLI
Задача у владельца
Находка становится задачей в трекере команды, а ссылка на задачу и её статус хранятся рядом с доказательством.
JiraGitLabGitFlicGitHubBitbucket1С:Документооборот1С:ITILIUM
Отчёт для аудита
Опубликованная версия отчёта не меняется: в ней снимок находок, профиль скрытия данных и экспорт — от PDF до архива доказательств.
PDFHTMLDOCXSARIFZIP evidence
Российский стек из коробки. GitFlic, Svacer, PVS-Studio и 1С:Предприятие работают наравне с GitHub, GitLab, Jira, SonarQube и Checkmarx.
Пилот
Пилот на вашем приложении: согласованные границы и измеримый результат
Пилот нужен, чтобы сравнить Vulnify с вашим текущим процессом на реальной системе, а не на демо-стенде.
- Вход
- Одно согласованное веб-приложение или API, разрешённые хосты и окружения, тестовые роли, ограничения нагрузки. Репозиторий и SBOM — при наличии доступа и по отдельному согласованию.
- Работа
- Настройка профиля и проверка входа, исследование поверхности, допустимые проверки, ручной разбор значимых сигналов, согласование владельцев и повторный прогон по исправленным находкам.
- Результат
- Карта «обнаружено / атаковано / не проверено», находки с силой доказательства, воспроизводимые артефакты для подтверждённых случаев, приоритеты, статус передачи в работу, версия отчёта и перечень оставшихся слепых зон.
- Критерий успеха
- До старта вместе определяем, какие маршруты и роли должны быть проверены, как измеряется полнота, какой формат доказательств принимают разработчики и как фиксируется результат повторной проверки.
- Коммерческие рамки
- Срок, стоимость, объём поддержки и условия работы с данными фиксируются после оценки контура.
Получить план пилота
В первом письме не нужны логины, токены и исходный код — безопасный канал передачи согласуем отдельно.
Редакции
Выберите глубину внедрения
Редакции отличаются глубиной цикла, который вы закрываете. Цена зависит от состава поставки, поэтому считаем её под ваш контур.
Понятный вход: управляемый DAST для ограниченного числа приложений.
Для команды, которой нужен регулярный DAST с доказательствами.
- Динамическое сканирование и отчёты
- Профили аутентификации
- Единое пространство находок
Полный цикл: расширенное discovery, доказательства и работа в процессе разработки.
Для AppSec-команды, которая ведёт находки до исправления вместе с разработкой.
- Расширенное discovery и SPA/API-обход
- OAST и сопоставление сигналов
- Контекст SAST и SCA
- Интеграция в CI/CD и re-test
Управление на уровне организации: масштаб, изоляция и аудит.
Для организации с несколькими командами, изоляцией и единым входом.
- Мультитенантность и RBAC
- SSO, аудит и политики
- Поддержка сложного контура
Из чего складывается конфигурация
приложения и проектыдвижки анализапользователи и ролиинтеграцииразвёртываниеподдержка и обновления
Итоговая конфигурация и цена фиксируются по результатам пилота — вместе с оценкой стоимости внедрения и объёма поддержки.
Вопросы
Вопросы закупки и ИБ
Это ещё один сканер с сотнями алертов?
Vulnify разделяет сигнал, попытку проверки и подтверждённую находку. У каждой находки видны уровень уверенности, эксплуатируемость и связи с другими источниками, а решение по ней принимает аналитик. Сколько шума останется на вашей системе, покажет пилот.
Сможет ли разработчик повторить результат?
Для DAST-проверок сохраняются базовый и атакующий запросы, ответы и разница между ними. У SAST и SCA свои доказательства: место в коде, версия компонента и advisory. Если доказательства не хватает, это видно в самой находке.
Не положит ли пилот наш продакшен?
Границы задаются до запуска: разрешённые хосты и окружения, тестовые роли, бюджет запросов и набор проверок. Начинать лучше с тестового окружения. Активное сканирование не бывает абсолютно безопасным — поэтому границы и согласуем заранее.
Что придётся вывести из нашего контура?
Код, находки и доказательства остаются на ваших серверах. Исходящие соединения нужны для обновлений, лицензии и фидов уязвимостей; AI-помощник подключается по желанию. Полный список пришлём до технического созвона.
Нужен ли доступ к исходному коду?
Нет. DAST работает как black-box. Код, SBOM или SARIF от поставщика повышают глубину анализа, но не обязательны: от black-box можно перейти к hybrid и white-box без смены процесса закупки.
Как используется AI?
AI помогает аналитику сформулировать гипотезу и следующий шаг. Подтверждение опирается на проверяемый сигнал — поведение приложения и собранные доказательства, а не на текст модели. AI можно отключить или подключить модель, развёрнутую у вас.
Сколько это стоит и что мы покупаем?
Цена зависит от состава поставки: приложения и проекты, движки анализа, пользователи, интеграции, развёртывание и поддержка. Состав пилота описан выше по пунктам, итоговую конфигурацию фиксируем после него.
Как проверить, что 1С и интеграции заработают у нас?
На пилоте подключаем именно ваши системы: трекер, CI и 1С. Что Vulnify проверяет в 1С и что для этого нужно, описано на отдельной странице.
Следующий шаг
Покажем на вашем приложении
Расскажите, какую систему хотите проверить. Предложим границы, план пилота и время короткого созвона.
Демо, пилот и внедрение sales@vulnify.org