Агент Johnny раскрыт! Смотрим на CodeScoring под микроскопом Natch

Наши коллеги по цеху безопасной разработки ИСП РАН, НТЦ «Фобос-НТ», «Базальт СПО» и мы, провели исследование CodeScoring при помощи инструмента Natch.

Natch — это инструмент от ИСП РАН, использующий динамический анализ, для определения поверхности атаки приложений и систем, основанный на полносистемном эмуляторе QEMU.

👀 По ссылке будет сложно, но интересно:
https://habr.com/ru/companies/isp_ras/articles/892548/

Авторы: Андрей Слепых, Никита Бесперстов, Павел Довгалюк.

🚀 Обновление CodeScoring 2025.13.0: анализ секретов в CI/CD, новые возможности уведомлений и поддержка Swift

В версии 2025.13.0 мы добавили анализ секретов с помощью консольного агента Johnny, значительно обновили конфигурацию CodeScoring в Docker Compose, расширили поддержку экосистем и добавили новые гибкие настройки уведомлений. Вот что изменилось:

Анализ секретов в CI/CD

Консольный агент Johnny теперь умеет анализировать директории на наличие секретов. Более подробно об этой функциональности можно узнать в документации.

Также, появилась история сканирования секретов в проектах.

Обновление конфигурации Docker Compose

Конфигурация CodeScoring в Docker Compose претерпела глубокую модернизацию. Перед обновлением ознакомьтесь с инструкцией, чтобы избежать возможных проблем при переходе.

Поддержка Swift Package Manager

Теперь CodeScoring поддерживает анализ манифестов Swift. Johnny научился разбирать файлы Package.swift и Package.resolved и анализировать зависимости данной экосистемы.

Новые настройки уведомлений и создания задач

1. Теперь можно гибко настраивать отправку Email-уведомлений и создание задач в Jira на отдельные группы и проекты a в рамках одной политики.
2. Добавлены два режима отправки уведомлений и создания задач: отдельное письмо/задача на каждый алерт или единый дайджест по всему сканированию.

Дополнительные изменения и улучшения

1. В словарные политики добавлен оператор "не соответствует".
2. Улучшена валидация паролей при создании нового пользователя и смене пароля.
3. Исправлены ошибки в фильтрации, сортировке и отображении данных в различных модулях.
4. Оптимизирована работа страницы политик и обновление информации об уязвимостях.

Полный список изменений можно увидеть на странице Changelog в документации.