Платформа

Движки анализа и единое пространство находок

Vulnify объединяет native DAST и классический движок, SAST с AI-помощником, SCA, IAST-агенты и OAST-коллектор. Сигналы попадают в одно рабочее пространство, где у каждой находки видны источник, сила доказательства и путь до повторной проверки.

Обсудить пилот Путь одной находки
Движки

Пять направлений анализа, одно пространство находок

DAST видит поведение, статический анализ объясняет кодовый контекст, SCA — состав зависимостей. Сигналы сопоставляются в рабочем пространстве с указанием силы связи; аналитик видит источники и подтверждает решение.

DAST

Динамический анализ

Native DAST, классический движок с набором модулей атак и headless-краулер для SPA. Профили аутентификации дают повторяемые прогоны под разными ролями — от анонима до администратора. Работает без исходного кода.

SAST + AI

Кодовый контекст

Правила по коду, секретам и IaC. AI помогает аналитику сформулировать гипотезу и следующий шаг, а подтверждение опирается на проверяемый сигнал — поведение приложения и собранные доказательства.

SCA / SBOM

Зависимости и цепочка поставок

Сопоставление с advisory-фидом, лицензии, образы контейнеров. CycloneDX и SPDX на входе и на выходе, diff между релизами.

IAST

Runtime-контекст

Инструментирование для PHP, Node.js, Java, Go, Ruby и Rust показывает, была ли ветка реально достигнута и какой поток данных сработал. Подписанные события вместо скриншотов из чата.

OAST

Внеполосные проверки

Собственный коллектор откликов. Слепые SSRF, XXE и Log4Shell подтверждаются входящим запросом на коллектор в вашем контуре, а не догадкой по таймингу: находка появляется, только если пришёл отклик именно на эту пробу.

Findings & Evidence

Единое пространство находок

Canonical issue, кампании, статусы, комментарии и Evidence Vault. Набор доказательств зависит от проверки: HTTP-трафик и diff, трасса кода, данные компонента, runtime-событие или OAST-отклик.

Multi-tenancy

Компании, проекты, окружения

RBAC поверх дерева проектов, отдельные бюджеты сканов и изоляция отчётов между командами. SSO по OAuth и LDAP.

Покрытие

Пустой отчёт нужно заслужить

Отсутствие находок имеет смысл только тогда, когда доказано достаточное покрытие. Поэтому Vulnify показывает не только список URL, но и то, что реально было проверено и как покрытие изменилось между прогонами.

  • Браузерное исследование SPA, клиентские маршруты и фоновые API-вызовы
  • Авторизационные профили и разные роли в одном прогоне
  • Граф поверхности атаки и снимки покрытия между прогонами
  • Периодические сканы по cron и сравнение релизов
Граф поверхности · api.shop.local 1 284 маршрута
Обычный сканер <html> <body> <html> <body> <a href> ? ? ? ? ? видит только статические ссылки headless discovery + auth flow + state exploration Vulnify deep discovery #/dashboard #/settings/users Auth: Logged In Auth: Admin #/reports/custom <form name="login"> <input id="password"> <button type="submit"> <form name="login"> <input id="password"> <button type="submit"> <form name="login"> <button type="submit"> POST /api/v3/users/update PATCH /api/v3/users/role POST /api/v3/settings/save ⋮ GET /api/v3/data?id=123 ⋮ GET /api/v3/admin/audit GET /api/v3/reports/export
маршрут и DOM-элемент состояние авторизации и API-вызов подтверждённая находка
Сторонние результаты

Результаты других сканеров — в том же цикле

SARIF, SBOM и отчёты поставщика попадают в ту же очередь, сопоставляются с собственными находками и доводятся до повторной проверки. Код повышает глубину анализа, но не является обязательным условием.

  • black-boxDAST работающего приложения, без исходного кода
  • hybridплюс SBOM, SARIF или пакет артефактов от поставщика
  • white-boxплюс репозиторий: SAST, секреты и зависимости по коду
Интеграции

Встраивается в то, что уже работает

Задачи уходят в ваш трекер, уведомления — в мессенджер, находки сторонних анализаторов — в общую очередь с собственными. Каждое подключение настраивается в интерфейсе и проверяется тестом соединения.

Трекеры и репозитории
JiraGitHubGitLabGitFlicBitbucket
1С
1С:Предприятие 81С:Документооборот1С:ITILIUM
Уведомления
SlackMicrosoft TeamsMattermostTelegramPagerDutyEmail (SMTP)Webhook с HMAC-подписью
Сторонние SAST
SonarQubeSemgrepPVS-StudioSvacerCheckmarx OneFortify SSCSnyk CodeCodeCheckerSARIF
SCA и SBOM
Dependency-TrackCycloneDXSPDX
CI/CD
GitFlic CIGitLab CIGitHub Actionspre-commitCLIJUnit
Вход и доступ
LDAPOIDCOAuth / SSO
Хранилища
Amazon S3MinIORustFSS3-совместимые
API и AI
REST APIOpenAPILLM (OpenAI-совместимый API)
Следующий шаг

Покажем на вашем приложении

Расскажите, какую систему хотите проверить. Предложим границы, план пилота и время короткого созвона.

Получить план пилота Написать нам

Демо, пилот и внедрение sales@vulnify.org