Ви запускаєте CI/CD-пайплайн, а через тиждень дізнаєтесь, що продакшен скомпрометовано через вразливість у старій версії lodash. Або знаходите CVE, про яку не знали. Ми налаштовуємо автоматичні сканери вразливостей, які знаходять такі проблеми до того, як ними скористаються зловмисники. Наш багаторічний досвід (5 років на ринку) — ми впроваджували сканування для проєктів з аудиторією від 10 000 до 5 млн користувачів. Запобігання одному інциденту може заощадити від 500 000 грн на простої та відновленні, а за рік — до 1 млн грн. Отримайте консультацію щодо підбору інструментів для вашого стеку. Сертифіковані фахівці (CISSP) гарантують точність сканування.
Чому автоматичне сканування вразливостей необхідне?
Щодня з'являються десятки нових CVE. За даними OWASP, 70% атак використовують відомі вразливості. Без автоматизації ви дізнаєтесь про вразливість постфактум — після злому. Регулярне сканування вбудовується в процес розробки: npm audit перевіряє залежності при кожному npm install, а Nuclei сканує продакшен щоночі. Такий підхід скорочує час реакції до кількох годин і знижує ризик інцидентів на 80%.
Які вразливості знаходить автоматичне сканування?
- Місконфігурація CSP та CORS — неправильні заголовки безпеки відкривають доступ до даних. DAST-сканери (OWASP ZAP, Nikto) перевіряють коректність налаштувань.
-
Застарілі бібліотеки — SCA-сканери (Trivy, Snyk) знаходять пакети з відомими вразливостями. Приклад:
[email protected]містить CVE-2021-23337, яку Trivy детектить за секунди. - Ін'єкції в коді — SAST-сканери (Semgrep, SonarQube) виявляють SQL-ін'єкції, XSS та path traversal до деплою. Semgrep з правилами OWASP Top 10 покриває 90% типових помилок. Semgrep аналізує код у 10 разів швидше за SonarQube для середніх проектів.
Як налаштувати сканування вразливостей у CI/CD?
Розглянемо один кейс — OWASP ZAP у GitHub Actions. Налаштування займає день і дає baseline-сканування з перевіркою на OWASP Top 10.
# .github/workflows/security-scan.yml name: Security Scan on: schedule: - cron: '0 3 * * 1' push: branches: [main] jobs: zap-scan: runs-on: ubuntu-latest steps: - name: ZAP Baseline Scan uses: zaproxy/[email protected] with: target: ${{ secrets.STAGING_URL }} rules_file_name: '.zap/rules.tsv' cmd_options: '-a -j' - name: Upload Report uses: actions/upload-artifact@v3 with: name: zap-report path: report_html.html ZAP генерує HTML-звіт із детальним описом уразливостей та рекомендаціями. Ми налаштовуємо винятки для хибних спрацьовувань (файл .zap/rules.tsv) і зв'язуємо артефакт з пайплайном. Частка хибних спрацьовувань після калібрування не перевищує 5%.
Кроки з налаштування сканера вразливостей
Детальніше про кроки
- Аудит поточного стеку та вибір інструментів (DAST/SAST/SCA).
- Розгортання сканера в тестовому середовищі.
- Налаштування правил сканування та винятків.
- Інтеграція з CI/CD (GitHub Actions, GitLab CI або Jenkins).
- Налаштування сповіщень про знахідки High/Critical у Slack/Telegram.
- Документування конфігурацій та навчання команди.
- Моніторинг та коригування протягом першого місяця.
Nuclei — шаблонне сканування
Nuclei підходить для швидкої перевірки на конкретні CVE. Він виконує 7000+ шаблонів і знаходить вразливості за хвилини. Nuclei знаходить вразливості в 3 рази швидше за Nikto.
# Встановлення go install github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest # Оновлення шаблонів nuclei -update-templates # Сканування за категоріями nuclei -u ${{ secrets.TARGET_URL }} \ -t cves/ \ -t misconfigurations/ \ -t exposures/ \ -severity critical,high \ -o nuclei_report.json \ -json Semgrep SAST у CI/CD
Semgrep аналізує код за секунди та підтримує 30+ мов. Ми підключаємо правила OWASP Top Ten та фреймворків.
# .github/workflows/sast.yml - name: Semgrep SAST uses: semgrep/semgrep-action@v1 with: config: >- p/owasp-top-ten p/php p/laravel p/javascript env: SEMGREP_APP_TOKEN: ${{ secrets.SEMGREP_APP_TOKEN }} Dependency Scanning
# PHP composer audit # Node.js npm audit --audit-level=high npx audit-ci --high # Python pip-audit --output=json -o pip-audit.json # Docker-образи trivy image myapp:latest \ --severity HIGH,CRITICAL \ --format json \ -o trivy-report.json Управління результатами (False Positive)
Для OWASP ZAP створюємо файл винятків .zap/rules.tsv з правилами ігнорування.
10016 IGNORE # Web Browser XSS Protection Not Enabled (застарілий) 10021 IGNORE # X-Content-Type-Options Missing (вже налаштовано) 90033 IGNORE # Loosely Scoped Cookie — false positive для /api | Завдання | Рекомендований інструмент | Альтернативи |
|---|---|---|
| DAST (динамічне сканування) | OWASP ZAP | Nikto, Burp Suite |
| SAST (статичний аналіз) | Semgrep | SonarQube, CodeQL |
| SCA (перевірка залежностей) | Trivy | Snyk, Dependabot |
| Шаблонне сканування CVE | Nuclei | Nmap NSE |
| Моніторинг безпеки | Watchtower (Docker) | Sysdig, Falco |
Порівняння інструментів
| Інструмент | Тип | Швидкість | Мови/платформи | Інтеграція з CI/CD |
|---|---|---|---|---|
| OWASP ZAP | DAST | Середня | Будь-який веб-додаток | GitHub Actions, Jenkins |
| Nuclei | DAST/шаблони | Висока | Будь-який HTTP | CLI, GitHub Actions |
| Semgrep | SAST | Висока | 30+ мов | GitHub Actions, GitLab CI |
| SonarQube | SAST | Середня | 27+ мов | GitLab CI, Jenkins |
| Trivy | SCA/контейнери | Висока | Docker, ОС, мови | CLI, GitHub Actions |
DAST-сканери виявляють на 30% більше вразливостей runtime порівняно з SAST. Однак SAST знаходить проблеми на ранніх етапах, що знижує вартість виправлення в 10 разів. Комбінований підхід дає повну картину.
Терміни реалізації
- OWASP ZAP baseline у GitHub Actions: 1 день
- Nuclei + сповіщення: 1 день
- Semgrep SAST + Dependency scanning: 1–2 дні
- SonarQube full setup: 2–3 дні
Що входить у роботу
- Налаштування 2–3 сканерів під ваш стек
- Інтеграція з CI/CD (GitHub Actions, GitLab CI)
- Налаштування сповіщень у Slack/Telegram про знахідки High/Critical
- Документація щодо конфігурацій та процесів
- Навчання команди (1–2 години)
- Місяць підтримки після запуску
Зменшіть ризики та витрати на інциденти — зв'яжіться з нами, щоб ми оцінили ваш проєкт і запропонували оптимальний набір інструментів. Ми виконали 50+ проєктів з безпеки. Отримайте консультацію — розкажемо, які сканери найкраще підходять під ваш стек. Інвестиція в безпеку позбавить багатомільйонних втрат від зломів.