Александра Доминик , Андрей Карпов

28 Сен 2026

Теги:

#Security

Список инструментов для РБПО

28 Сен 2026

Автор: Александра Доминик , Андрей Карпов

Значение тегов
SAST (статический анализ кода)
DAST (динамический анализ приложений)
SCA (композиционный анализ ПО)
Управление конфигурацией
Управление доступом и целостностью
Управление дефектами и изменениями
CI/CD и автоматизация
Секреты: поиск утечек и хранение
IAST и RASP
Безопасность контейнеров и оркестрации
Безопасность API
Моделирование угроз
ASPM (управление состоянием безопасности приложений)
Bug Bounty
MAST (анализ безопасности мобильных приложений)
Безопасность облачной инфраструктуры (CSPM, CNAPP)
SBOM (спецификация компонентов ПО)

Большой список инструментов, используемых при построении процессов безопасной разработки программного обеспечения (РБПО, SSDLC).

В процессе работы над подборкой материалов "Разработка безопасного программного обеспечения (РБПО) по ГОСТ Р 56939—2024" нам не хватало ресурса, содержавшего список релевантных инструментов, разбитых на соответствующие категории: SAST, DAST, SCA и так далее.

Вернее, подобные ресурсы есть, но они или перечисляют только определённый тип инструментов, или не содержат отечественные решения. Поэтому появилась идея составить собственную подборку.

Предупреждение

Данная подборка основана на использовании ИИ с последующей ручной доработкой. Так что в ней вы можете натолкнуться на худшее от обоих миров: галлюцинации ИИ и невнимательность человека :)

Просим отнестись с пониманием. Цель подборки — помочь быстро найти инструменты на нужную тему для дальнейшего их изучения и выбора. Просим написать комментарий, если заметите ошибку или захотите пополнить список. Мы будем вносить соответствующие правки в текст.

Не очень хорошо, что есть дублирование инструментов в разных категориях. Чтобы этого избежать и сделать работу со списком более удобной, мы, возможно, превратим статью в интерактивную страницу сайта. Тогда можно будет выбирать инструменты по категориям или набору тегов.

Значение тегов

#SAST — статический анализ исходного или бинарного кода (Static Application Security Testing).
#DAST — динамический анализ работающего приложения (Dynamic Application Security Testing), включая фаззинг-тестирование.
#IAST — интерактивный анализ: агент внутри приложения выявляет уязвимости во время тестирования (Interactive Application Security Testing).
#RuntimeProtection — защита и обнаружение атак во время работы: самозащита приложений (RASP), межсетевые экраны прикладного уровня (WAF, WAAP), мониторинг угроз в рантайме.
#SCA — анализ сторонних компонентов и зависимостей, в том числе контроль их лицензий (Software Composition Analysis).
#SBOM — работа со спецификациями компонентов ПО: генерация, хранение, анализ, VEX-документы.
#SupplyChain — защита цепочки поставок ПО, в том числе цифровая подпись кода и артефактов.
#MAST — тестирование безопасности мобильных приложений (Mobile Application Security Testing).
#APISecurity — тестирование и защита API.
#Secrets — поиск секретов (паролей, токенов, ключей) в коде и репозиториях, а также их безопасное хранение.
#IaC — инфраструктура как код и управление конфигурациями, включая проверку их безопасности.
#ContainerSecurity — безопасность контейнеров, реестров образов и Kubernetes.
#CloudSecurity — безопасность облачной инфраструктуры: контроль конфигураций (CSPM), прав доступа (CIEM), защита облачных нагрузок (CWPP, CNAPP).
#ASPM — управление уязвимостями и состоянием безопасности приложений: сбор, дедупликация и приоритизация результатов разных инструментов (Application Security Posture Management).
#ThreatModeling — моделирование угроз.
#VCS — системы контроля версий и код-ревью.
#AccessControl — управление доступом, аутентификация и авторизация.
#CICD — непрерывная интеграция и доставка, включая защиту конвейера сборки.
#IssueTracking — учёт задач, дефектов, изменений и инцидентов.
#BugBounty — платформы поиска уязвимостей за вознаграждение и краудсорсингового пентеста, в том числе для Web3.
#Russian — российский разработчик.
#Foreign — зарубежный разработчик.
#LeftRussia — вендор официально прекратил продажи или работу в России; коммерческую версию продукта нельзя купить у вендора напрямую. Тег ставится только коммерческим продуктам; бесплатные open source-инструменты этих вендоров им не отмечаются.
#GOST-R-71207 — соответствие требованиям ГОСТ Р 71207—2024 к статическому анализу (пояснение на примере технологий PVS-Studio).
#Free — бесплатно для любого использования.
#Freemium — есть бесплатная версия или тариф, расширенные возможности — платно.
#Paid — только платная лицензия или подписка (возможен пробный период).
#OpenSource — исходные коды инструмента (или его бесплатной редакции) доступны пользователям. Тип лицензии, в том числе ограничивающей коммерческое использование (BUSL, Elastic License и т. п.), указан в поле "Лицензия".
#FreeForOSS — коммерческий инструмент можно бесплатно использовать для открытых проектов (по специальной лицензии, плану или программе вендора).
#OnPremise — установка в собственной инфраструктуре заказчика, включая локальный запуск CLI-утилит.
#Cloud — облачный сервис (SaaS).

Поддерживаемые языки: Java, C#, PHP, Python, JavaScript, TypeScript, Go, C/C++, Kotlin, Swift, Objective-C, SQL

Лицензия: Проприетарная

Сайт: https://www.ptsecurity.com/ru-ru/products/ai/

PVS-Studio

Описание: Статический анализатор кода для поиска ошибок и потенциальных уязвимостей. Включён в Реестр российского ПО (№9837). Работает в закрытом контуре. Открытые проекты могут получить бесплатную лицензию.

Управление конфигурацией

Ansible

Описание: Безагентная платформа автоматизации управления конфигурациями, развёртывания приложений и оркестрации. Коммерческая версия — Red Hat Ansible Automation Platform.

Категория: Управление конфигурацией

Теги: #IaC #Foreign #LeftRussia #Freemium #OpenSource #OnPremise

Поддерживаемые языки: YAML, Jinja2

Лицензия: GPL-3.0

Сайт: https://www.redhat.com/en/ansible-collaborative

Checkov

Описание: Статический анализатор конфигураций IaC для поиска ошибок конфигурации и небезопасных настроек. Разработчик — Palo Alto Networks (изначально Bridgecrew).

Категория: Безопасность IaC / CSPM

Теги: #IaC #CloudSecurity #Foreign #Free #OpenSource #OnPremise

Область применения: Terraform, CloudFormation, Kubernetes, Helm, Dockerfile, шаблоны ARM, Serverless, AWS CDK

Лицензия: Apache 2.0

Сайт: https://www.checkov.io/

Chef

Описание: Инструмент автоматизации инфраструктуры, описывающий конфигурации кодом на Ruby. Разработчик — Progress Software.

Категория: Управление конфигурацией

Теги: #IaC #Foreign #LeftRussia #Freemium #OpenSource #OnPremise #Cloud

Поддерживаемые языки: Ruby

Лицензия: Apache 2.0 / Проприетарная

Сайт: https://www.chef.io/

OpenTofu

Описание: Открытый форк Terraform под эгидой Linux Foundation. Совместим с провайдерами и модулями Terraform, поддерживает встроенное шифрование state-файлов.

Категория: IaC

Теги: #IaC #Foreign #Free #OpenSource #OnPremise

Поддерживаемые языки: HCL, JSON

Лицензия: MPL-2.0

Сайт: https://opentofu.org/

Puppet

Описание: Агентная система управления конфигурациями для автоматизации жизненного цикла инфраструктуры. С 2025 г. Perforce не публикует открытые сборки; сообщество развивает форк OpenVox.

Категория: Управление конфигурацией

Теги: #IaC #Foreign #Freemium #OpenSource #OnPremise

Поддерживаемые языки: Puppet DSL (на основе Ruby)

Лицензия: Apache 2.0 / Проприетарная (Puppet Enterprise)

Сайт: https://www.puppet.com/

Terraform

Описание: Инструмент HashiCorp для декларативного описания, создания и версионирования инфраструктуры (IaC). HashiCorp с 2025 г. — компания IBM.

Категория: IaC

Теги: #IaC #Foreign #LeftRussia #Freemium #OpenSource #OnPremise #Cloud

Поддерживаемые языки: HCL, JSON

Лицензия: BUSL-1.1

Сайт: https://developer.hashicorp.com/terraform

Trivy (Aqua Security)

Описание: Сканер безопасности, проверяющий в том числе конфигурации IaC и манифесты Kubernetes.

Категория: SCA / Безопасность IaC / Генерация SBOM

Теги: #SCA #IaC #ContainerSecurity #SBOM #Foreign #Free #OpenSource #OnPremise

Область применения: Terraform, Kubernetes, Dockerfile, Helm

Лицензия: Apache 2.0

Сайт: https://trivy.dev/

Управление доступом и целостностью

Bitbucket

Описание: Сервис хостинга Git-репозиториев с управлением доступом к коду в экосистеме Atlassian. Варианты: Bitbucket Cloud и Bitbucket Data Center.

Категория: Система контроля версий

Теги: #VCS #AccessControl #Foreign #LeftRussia #Freemium #OnPremise #Cloud

Поддерживаемые языки: Не зависит от языка программирования

Лицензия: Проприетарная (Atlassian)

Сайт: https://bitbucket.org/

FreeIPA

Описание: Решение для централизованного управления учётными записями, правами доступа и политиками безопасности инфраструктуры. Поддерживает доверительные отношения с Active Directory.

Категория: Управление доступом

Теги: #AccessControl #Foreign #Free #OpenSource #OnPremise

Поддерживаемые языки: Не зависит от языка программирования (протоколы LDAP, Kerberos)

Лицензия: GPL-3.0

Сайт: https://www.freeipa.org/

Gerrit

Описание: Система обязательного код-ревью изменений перед их интеграцией в защищённую ветку.

Категория: Код-ревью

Теги: #VCS #AccessControl #Foreign #Free #OpenSource #OnPremise

Поддерживаемые языки: Не зависит от языка программирования

Лицензия: Apache 2.0

Сайт: https://www.gerritcodereview.com/

GitHub

Описание: Платформа хостинга репозиториев с контролем целостности кода и инструментами совместной работы.

Категория: Система контроля версий

Теги: #VCS #AccessControl #Foreign #LeftRussia #Freemium #OnPremise #Cloud

Поддерживаемые языки: Не зависит от языка программирования

Лицензия: Проприетарная (Microsoft)

Сайт: https://github.com/

GitLab

Описание: DevSecOps-платформа с системой контроля версий, код-ревью и разграничением прав доступа. По программе GitLab for Open Source открытые проекты получают тариф Ultimate бесплатно.

Категория: Система контроля версий

Теги: #VCS #AccessControl #Foreign #LeftRussia #Freemium #OpenSource #FreeForOSS #OnPremise #Cloud

Поддерживаемые языки: Не зависит от языка программирования

Лицензия: MIT (Community Edition) / Проприетарная

Сайт: https://about.gitlab.com/

GnuPG (GPG)

Описание: Криптографический пакет для шифрования и электронной подписи, в том числе коммитов и релизных артефактов.

Категория: Цифровая подпись

Теги: #SupplyChain #Foreign #Free #OpenSource #OnPremise

Область применения: Файлы исходного кода, коммиты, бинарные артефакты

Лицензия: GPL-3.0

Сайт: https://gnupg.org/

Keycloak

Описание: Система управления идентификацией и доступом с поддержкой единого входа (SSO).

Категория: Управление доступом

Теги: #AccessControl #Foreign #Free #OpenSource #OnPremise

Поддерживаемые языки: Не зависит от языка программирования (протоколы OpenID Connect, OAuth 2.0, SAML 2.0)

Лицензия: Apache 2.0

Сайт: https://www.keycloak.org/

Review Board

Описание: Веб-инструмент код-ревью для контроля изменений исходного кода.

Категория: Код-ревью

Теги: #VCS #Foreign #Freemium #OpenSource #OnPremise #Cloud

Поддерживаемые языки: Не зависит от языка программирования

Лицензия: MIT / Проприетарная (Power Pack, RBCommons)

Сайт: https://www.reviewboard.org/

Sigstore

Описание: Инфраструктура прозрачной подписи и верификации артефактов для защиты цепочки поставок ПО. Компоненты: Cosign, Fulcio, Rekor; проект OpenSSF.

Категория: Цифровая подпись

Теги: #SupplyChain #Foreign #Free #OpenSource #OnPremise #Cloud

Область применения: Образы контейнеров, бинарные файлы, манифесты сборки

Лицензия: Apache 2.0

Сайт: https://www.sigstore.dev/

Управление дефектами и изменениями

Лицензия: AGPL-3.0 / Проприетарная (Enterprise)

Сайт: https://trufflesecurity.com/trufflehog/

Whispers

Описание: Статический анализатор от Skyscanner для поиска захардкоженных секретов в коде и конфигурационных файлах. Проект не развивается: репозиторий архивирован в 2023 г.

Категория: Поиск секретов

Теги: #Secrets #Foreign #Free #OpenSource #OnPremise

Поддерживаемые языки: YAML, JSON, XML, Makefile, Dockerfile, Python, Java, JavaScript, Go, PHP, Shell

Лицензия: Apache 2.0

Сайт: https://github.com/Skyscanner/whispers

IAST и RASP

Contrast Security (Contrast AST / Contrast ADR)

Описание: Платформа IAST и RASP. Contrast AST (ранее Assess) выявляет уязвимости во время тестирования, Contrast ADR (ранее Protect) обнаруживает и блокирует атаки в работающем приложении.

Категория: IAST / RASP

Теги: #IAST #RuntimeProtection #Foreign #Paid #OnPremise #Cloud

Поддерживаемые языки: Java, .NET, Node.js, Python, Ruby, Go

Лицензия: Проприетарная

Сайт: https://www.contrastsecurity.com/

Imperva RASP

Описание: RASP-решение для защиты от известных атак и уязвимостей нулевого дня без изменения исходного кода. Imperva входит в группу Thales.

Категория: RASP

Теги: #RuntimeProtection #Foreign #LeftRussia #Paid #OnPremise

Поддерживаемые языки: Java, .NET, Node.js

Лицензия: Проприетарная

Сайт: https://www.imperva.com/learn/application-security/runtime-security/

OpenRASP

Описание: RASP-решение Baidu. Встраивается в среду выполнения и блокирует RCE, SQL-инъекции и другие атаки без сигнатур. Проект не развивается: новых релизов нет несколько лет.

Категория: RASP

Теги: #RuntimeProtection #Foreign #Free #OpenSource #OnPremise

Поддерживаемые языки: Java, PHP

Лицензия: Apache 2.0

Сайт: https://github.com/baidu/openrasp

PT Application Inspector

Описание: Анализатор защищённости от Positive Technologies, объединяющий технологии SAST, DAST, IAST и SCA.

Описание: Платформа защиты контейнеров по модели Zero Trust: глубокая инспекция трафика (DPI), сегментация и защита в рантайме.

IriusRisk

Описание: Корпоративная платформа автоматизированного моделирования угроз и управления рисками на протяжении SDLC. Сопоставляет компоненты архитектуры с библиотеками угроз STRIDE, CAPEC, MITRE ATT&CK. С 2026 г. входит в ThreatModeler.

Категория: Моделирование угроз

Теги: #ThreatModeling #Foreign #Freemium #OnPremise #Cloud

Область применения: Архитектурные схемы, модели в форматах Open Threat Model (OTM), JSON, YAML, XML

Лицензия: Проприетарная (есть бесплатная версия Community)

Сайт: https://www.iriusrisk.com/

Microsoft Threat Modeling Tool

Описание: Бесплатное настольное приложение Microsoft. Анализирует DFD по методологии STRIDE и формирует отчёт об угрозах с рекомендациями.

Категория: Моделирование угроз

Теги: #ThreatModeling #Foreign #Free #OnPremise

Область применения: Диаграммы потоков данных (DFD)

Лицензия: Проприетарная (бесплатная)

Сайт: https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool

OWASP Threat Dragon

Описание: Кроссплатформенный инструмент моделирования угроз с открытым кодом. Строит DFD и выявляет угрозы по методологиям STRIDE, LINDDUN, CIA, DIE и PLOT4ai; работает как настольное и как веб-приложение.

Категория: Моделирование угроз

Теги: #ThreatModeling #Foreign #Free #OpenSource #OnPremise

Область применения: Диаграммы потоков данных (DFD), модели в формате JSON

Лицензия: Apache 2.0

Сайт: https://owasp.org/www-project-threat-dragon/

PyTM

Описание: Фреймворк OWASP для подхода Threat Modeling as Code. Система описывается на Python, DFD, диаграммы последовательностей и отчёты об угрозах формируются автоматически.

Описание: Корпоративный набор для проверки мобильных приложений (zScan) и их защиты в продакшене: обфускация (zShield), защита ключей (zKeyBox) и RASP (zDefend).

#Security

Теги:

#Security