PT Application Inspector — платформа анализа защищённости приложений, которая не просто находит уязвимости, а подтверждает их. Объединяет глубокий SAST-анализ, SCA и DAST с автоподтверждением уязвимостей; в основе продукта — собственная экспертиза Positive Technologies.
ML-модуль MOLOT выявляет закладки в коде и подозрительную логику, недоступные классическому анализу. Проверка выполняется до выхода приложения в продакшен — это снижает стоимость исправлений и уменьшает число разрозненных инструментов в команде.
Ключевые возможности
- Глубокий и точный SAST. Анализ потоков данных в сочетании с символьным выполнением: продукт строит графовое представление кода с учётом условий и отфильтровывает недостижимые уязвимости ещё в момент анализа. Точность выше 95% на Java OWASP Benchmark.
- Анализ зависимостей (SCA). Проверка сторонних и open-source компонентов.
- Встроенный DAST. Подтверждение найденных уязвимостей через динамический анализ.
- ML-модуль MOLOT. Поиск недекларированных возможностей: закладок, подозрительной логики и потенциально вредоносных конструкций.
- ИИ-триаж PT Naira. Анализ контекста сработок: подтверждение реальных уязвимостей, выявление ложных, объяснение вердикта и рекомендации по исправлению.
- Сканирование конфигураций (IaC). Небезопасные настройки приложений и инфраструктуры.
- Поиск секретов в коде. Пароли, токены доступа, ключи и другие конфиденциальные данные.
- Сервис управления сканированиями. Централизованное управление очередями, приоритетами и ресурсами агентов; критичные изменения проверяются вне очереди.
Эффективность ИИ-триажа
- 94% — полнота обнаружения реальных уязвимостей.
- 30% — доля выявленных ложных срабатываний.
- 75% — согласованность вердикта ИИ с решением AppSec-эксперта.
Сценарии использования
- Разработчик. Уязвимости подсвечиваются прямо в IDE, пока пишется код, — не нужно ждать проверки ИБ.
- AppSec-инженер. Подтверждённые уязвимости без «простыни» предупреждений, единая картина для команды.
- Руководитель безопасной разработки. Встраивание проверок в CI/CD: код проверяется при каждом коммите, не тормозя релизы.
Кому подходит
- Командам разработки, внедряющим DevSecOps.
- Организациям с собственной разработкой и требованиями к безопасности кода.
- Компаниям, которым нужно проверить подрядный код перед приёмкой.
- Организациям с требованиями регуляторов — продукт в реестре российского ПО и сертифицирован ФСТЭК.
Характеристики
| Класс решения | AppSec-платформа: SAST, SCA, DAST, IAST |
|---|---|
| Тип продукта | Программный комплекс |
| Производитель | Positive Technologies |
| Страна | Россия |
| Языки | Java, Scala, C#, PHP, JavaScript/TypeScript, Python, Go, Ruby, Kotlin, Objective-C, Swift, SQL, Solidity, Dart, 1С 8.3 и ниже |
| Точность SAST | Более 95% (Java OWASP Benchmark) |
| ML-модуль | MOLOT — поиск закладок и недекларированных возможностей |
| ИИ-триаж | PT Naira |
| Интеграции | IDE, CI/CD, системы управления задачами |
| Сертификация | ФСТЭК России; реестр российского ПО № 1253 |
| Лицензирование | По запросу |
Поставка и внедрение
IT Business Solutions разворачивает платформу, настраивает профили анализа под используемые языки и требования заказчика, встраивает проверки в конвейер сборки и обучает команду работе с результатами. Доступен пилот и тест-драйв.