Банк «Санкт-Петербург» проверяет веб-приложения на безопасность с помощью PT Application Inspector

В январе 2018 года компания Positive Technologies объявила о том, что Банк «Санкт-Петербург» использует сервис компании по инструментальному анализу исходного кода веб-приложений на базе PT Аpplication Inspector для контроля защищенности разрабатываемых систем дистанционного обслуживания.

Предпосылки

Банк Санкт-Петербург регулярно совершенствует системы ДБО и уделяет большое внимание информационной безопасности всех разрабатываемых сервисов. В модернизации систем ДБО нам помогают внешние разработчики. Несмотря на высокую квалификацию специалистов, всегда существует риск, что в обновленном приложении могут появиться критически опасные уязвимости. Для нас важно, чтобы все обновления ДБО были надежными и вовремя доходили до наших клиентов, поэтому мы предъявляем высокие требования к качеству кода, к скорости выявления и исправления уязвимостей. Для проведения периодического анализа защищенности мы обратились к экспертам Positive Technologies, которые имеют подтвержденные компетенции в вопросах безопасности банковских систем, — рассказал Анатолий Скородумов, начальник управления по обеспечению информационной безопасности банка «Санкт-Петербург».

Ход проекта

Исследование защищенности финансовых приложений, проведенное Positive Technologies, показало, что веб-приложения, разработанные вендорами, в среднем содержат в два раза больше уязвимостей, чем разработанные банками самостоятельно. Большинства недостатков защиты можно избежать еще на стадии разработки, если регулярно проводить анализ исходного кода приложений, в том числе с помощью автоматизированных средств.

Эксперты Positive Technologies предложили управлению информационной безопасности банка регулярный сервис по анализу защищенности с использованием PT Application Inspector, предназначенного для автоматизации поиска уязвимостей. На первом этапе проводится аудит исходного кода разрабатываемых веб-приложений систем ДБО с помощью PT Application Inspector. Далее эксперты отдела анализа защищенности Positive Technologies выполняют валидацию полученных результатов и готовят отчет с оценкой текущего уровня защищенности приложения, а также рекомендации по исправлению уязвимостей. Данный подход позволяет осуществлять верификацию уязвимостей и ошибок, обнаруженных PT Application Inspector, с помощью практической демонстрации атак на приложение, пояснили в компании.

Результат

Автоматизированный анализ позволил службе ИБ банка сократить время приемки обновлений.

Специалисты отдела информационной безопасности банка смогли внедрить контроль исходного кода, разрабатываемого сторонними подрядчиками, приложив минимальные усилия. Благодаря широким интеграционным возможностям PT Application Inspector код не покидал периметра банка. Это позволило выполнить необходимые работы в кратчайший срок — процесс занял всего семь дней. Банк Санкт-Петербург планирует проводить анализ защищенности приложения ежеквартально, а в ближайшей перспективе — внедрить комплексное решение направления Application Security, — рассказал Рами Мулейс, менеджер по продвижению PT Application Inspector компании Positive Technologies.