Инструменты РБПО

Российский статический анализатор кода от AppSec Solutions для поиска уязвимостей и небезопасных конструкций. Внесён в реестр российского ПО.

Статический анализатор безопасности Python-кода.

SAST-инструмент с акцентом на уязвимости, утечки чувствительных данных и защиту персональной информации. Принадлежит Cycode; открытый Bearer CLI продолжает развиваться.

Статический анализатор безопасности приложений на Ruby on Rails.

Корпоративный анализатор исходного кода для поиска уязвимостей. Входит в платформу Checkmarx One.

Движок семантического анализа кода от GitHub. Работает с кодом как с базой данных, к которой выполняются запросы.

Корпоративный статический анализатор для проверки критически важного кода. Разработчик — Black Duck (ранее Synopsys). Доступен on-premise и в облаке (платформа Polaris). Для открытых проектов доступен бесплатный облачный сервис Coverity Scan.

Статический анализатор C/C++ для поиска ошибок, уязвимостей, утечек памяти и ресурсов. Коммерческая версия Cppcheck Premium поддерживает MISRA, CERT и AUTOSAR.

Российская платформа анализа исходного и исполняемого кода на уязвимости и НДВ. Помимо SAST включает DAST, SCA и MAST; внесена в реестр российского ПО.

Плагин ESLint с правилами для поиска потенциально опасных конструкций в коде Node.js.

Сканер исходного кода C/C++, выявляющий потенциально опасные конструкции с привязкой к CWE.

Статический анализатор безопасности Go-кода. Выявляет уязвимости и небезопасное использование API.

Корпоративный анализатор безопасности исходного кода для ранних этапов SDLC. Входит в линейку HCL AppScan (AppScan 360°, AppScan on Cloud).

Оркестратор открытых анализаторов для поиска уязвимостей и секретов в коде. Проект не развивается: последний релиз — июнь 2022 г.

Статический анализатор от Meta (ранее Facebook) для поиска ошибок и уязвимостей.

Статический анализатор от Perforce для крупных проектов на C, C++, C# и Java.

Статический анализатор безопасности приложений на Node.js. Основной CLI-инструмент проекта — njsscan.

Корпоративный статический анализатор безопасности кода от OpenText. Доступен как SaaS (Fortify on Demand) и on-premise. Поддерживает проверку требований PCI DSS.

Многоязычный статический анализатор для поиска ошибок, неиспользуемого кода и небезопасных конструкций. Включает более 400 встроенных правил.

Статический анализатор PHP, выявляющий ошибки типизации и уязвимости.

Анализатор защищённости приложений от Positive Technologies: статический анализ (включая абстрактную интерпретацию), динамический и интерактивный анализ, проверка сторонних компонентов. В версии 6.0 (2026) добавлены поиск секретов, анализ конфигураций и ML-модуль поиска вредоносного кода.

Статический анализатор кода для поиска ошибок и потенциальных уязвимостей. Включён в Реестр российского ПО (№9837). Работает в закрытом контуре. Открытые проекты могут получить бесплатную лицензию. Применяется при построении процессов безопасной разработки программного обеспечения (РБПО) согласно ГОСТ Р 56939-2024. Соответствует требованиям последней редакции методики ВУ и НДВ ФСТЭК России – информационное письмо.

Анализатор исходного кода от ShiftLeft Security (ITD Group) для поиска уязвимостей, закладок и НДВ. Включает анализ сторонних компонентов (SCA) и генерацию SBOM; внесён в реестр российского ПО (№23718).

Анализатор для поиска уязвимых паттернов и контроля правил безопасной разработки. Продукты: Semgrep Code (SAST), Supply Chain (SCA), Secrets и бесплатная Community Edition.

Статический анализатор shell-скриптов для поиска синтаксических ошибок и потенциально опасных конструкций.

SAST-инструмент на базе ИИ с интеграцией в IDE и CI/CD. Мейнтейнеры открытых проектов могут бесплатно использовать платформу по программе Snyk Secure Developer.

Платформа анализа защищённости ПО от ГК "Солар": статический (в том числе бинарный) и динамический анализ, анализ сторонних компонентов и цепочки поставок.

Платформа непрерывного контроля качества и безопасности кода. Продукты: SonarQube Server, SonarQube Cloud и бесплатный SonarQube Community Build. Для открытых проектов есть бесплатный план SonarQube Cloud (Free OSS).

Статический анализатор байт-кода Java для поиска ошибок и уязвимых шаблонов.

Статический анализатор ИСП РАН для поиска ошибок и уязвимостей. Внесён в реестр российского ПО (№4047); результаты просматриваются через веб-интерфейс Svacer.

Облачный сервис анализа безопасности исходного и скомпилированного кода.

Анализатор исходных текстов C/C++ от АО "ЦБИ-сервис" для контроля отсутствия НДВ и выявления потенциально опасных конструкций.

Программный комплекс статического и динамического анализа кода с фаззинг-тестированием. Применяется при сертификационных испытаниях.

Развиваемый сообществом фаззер на основе AFL с покрытием кода. Поддерживает инструментацию при компиляции и фаззинг бинарных файлов в режиме QEMU.

Сканер уязвимостей веб-приложений и API с эмуляцией действий пользователя в браузере. Разработчик — AppCheck Ltd (Великобритания).

Модульный фреймворк динамического анализа веб-приложений для пентестеров и администраторов. Проект закрыт: разработчик заменил его коммерческим Spectre Scan.

Инструмент автоматизированного тестирования REST API на уязвимости из OWASP API Security Top 10.

Платформа для ручного пентеста и автоматизированного DAST-сканирования веб-приложений. Отраслевой стандарт де-факто. Редакции: Community (бесплатно), Professional и Burp Suite DAST.

Комплекс динамического анализа ИСП РАН: фаззинг и символьное выполнение для поиска ошибок и уязвимостей в бинарном коде. Позволяет выстроить процесс по ГОСТ Р 56939 и методикам ФСТЭК России.

Бесплатный DAST-сканер от PortSwigger для запуска в CI/CD.

Высокоскоростной веб-фаззер для поиска скрытых директорий, файлов и параметров.

Инструмент фаззинг-тестирования кода на Go с обратной связью по покрытию. Применяется для поиска паник, зависаний и некорректной обработки входных данных.

Инструмент оценки эффективности WAF и API-шлюзов с помощью тестовых атак.

Инструмент динамического анализа для выявления уязвимостей во время выполнения приложения.

Корпоративная платформа тестирования безопасности приложений. Основа — DAST с технологией Proof-Based Scanning, которая подтверждает найденные уязвимости; дополнительно SAST, SCA, проверка IaC, секретов и контейнеров.

Сканер уязвимостей веб-приложений и API с углублённым анализом JavaScript. Входит в линейку Invicti.

Движок фаззинга в составе LLVM, работающий внутри процесса тестируемой библиотеки. Использует покрытие, собираемое санитайзерами Clang (SanitizerCoverage).

Фреймворк тестирования на проникновение с базой эксплойтов и полезных нагрузок. Применяется для проверки эксплуатируемости найденных уязвимостей. Разработчик — Rapid7.

Сканер веб-серверов для поиска опасных файлов, устаревшего ПО и ошибок конфигурации.

Сканер уязвимостей от ProjectDiscovery на основе YAML-шаблонов.

Корпоративный DAST-сканер от OpenText для поиска уязвимостей в работающих приложениях и API (REST, SOAP, GraphQL, gRPC). Поддерживает проверку требований PCI DSS.

DAST-сканер веб-приложений от Positive Technologies, работающий по методу "чёрного ящика". Есть коробочная версия и облачный PT BlackBox Scanner с бесплатным доступом.

Облачный сервис обнаружения веб-приложений и сканирования их на уязвимости.

Облачный DAST-сервис Rapid7 с акцентом на автоматизацию в CI/CD; входит в Rapid7 Exposure Command.

Stateful-фаззер REST API от Microsoft Research.

Инструмент тестирования и фаззинга API на основе спецификаций OpenAPI и GraphQL.

Фаззер для платформы .NET, использующий инструментацию сборок и движок AFL.

DAST-сканер веб-приложений и API от SolidLab (ООО "СолидСофт"). Поддерживает SPA, OpenAPI, SOAP и GraphQL, интегрируется в CI/CD через REST API и CLI.

Инструмент автоматического поиска и эксплуатации SQL-инъекций.

DAST-инструмент для разработчиков, рассчитанный на запуск в CI/CD. Сейчас позиционируется как DAST для команд, использующих ИИ-агентов разработки.

Фаззер ядра операционных систем от Google с обратной связью по покрытию. Автоматически генерирует последовательности системных вызовов и воспроизводит найденные сбои.

DAST-модуль платформы Tenable One для сканирования веб-приложений и API. Доступен как облачный сервис и on-premise в составе Tenable Security Center.

Фреймворк динамической инструментации для поиска ошибок работы с памятью, утечек и состояний гонки (Memcheck, Helgrind и другие инструменты).

Облачный DAST-сервис в составе DevSecOps-платформы Veracode.

Фреймворк для поиска и эксплуатации уязвимостей веб-приложений. Проект не развивается: последний релиз — 2015 г.

DAST-сканер, работающий по методу "чёрного ящика". Проверяет веб-приложения внедрением полезных нагрузок.

Сканер безопасности веб-приложений с открытым исходным кодом, один из самых распространённых в мире. Вышел из OWASP и развивается при поддержке Checkmarx (ZAP by Checkmarx).

Российская система анализа состава ПО от AppSec Solutions: уязвимости, вредоносный код, опасные лицензии и секреты в сторонних компонентах, а также проверка ML-моделей. Внесена в реестр российского ПО (№20552).

Сканер известных уязвимостей в зависимостях Node.js-проектов по базам Sonatype.

Корпоративный инструмент анализа open source-компонентов: уязвимости, лицензии, соответствие политикам. Разработчик — Black Duck Software (до 2024 г. — подразделение Synopsys). Доступен как SaaS (Polaris) и on-premise.

Утилита аудита Cargo.lock в Rust-проектах по базе RustSec Advisory Database.

Российский инструмент композиционного анализа ПО: выявляет сторонние и open source-компоненты в составе продукта, проверяет их на известные уязвимости.

Облачный модуль поиска уязвимостей в open source-компонентах и анализа лицензионных рисков. Входит в платформу Checkmarx One.

Российская SCA-система для поиска уязвимостей в open source-компонентах и контроля лицензионной чистоты зависимостей. Модули платформы: SCA, OSA, Secrets, Save, TQI. Внесена в реестр российского ПО.

Встроенный сервис GitHub. Находит уязвимые зависимости и создаёт pull request с их обновлением.

Платформа управления лицензиями open source и непрерывного сканирования зависимостей на уязвимости.

Модуль GitLab CI/CD для проверки зависимостей на уязвимости в пайплайнах сборки. Рекомендуемый способ — сканирование на основе SBOM; анализатор Gemnasium объявлен устаревшим. Открытым проектам доступен бесплатно по программе GitLab for Open Source.

CLI-сканер уязвимостей в образах контейнеров, файловых системах и SBOM. Приоритизирует уязвимости по EPSS и KEV, поддерживает OpenVEX.

Инструмент анализа безопасности и лицензий компонентов, интегрированный с репозиторием JFrog Artifactory.

Корпоративная SCA-платформа для управления рисками open source-компонентов и контроля лицензионной чистоты. Продукты: Mend AppSec (SCA и SAST) и Mend Renovate (автоматическое обновление зависимостей).

Утилита поиска уязвимостей в зависимостях Go-проектов по базам Sonatype.

Платформа анализа open source-зависимостей: уязвимости, лицензии и состояние сообществ.

Сканер уязвимостей в зависимостях от Google на основе открытой базы OSV.dev. Умеет сканировать образы контейнеров и работать офлайн.

Сканер зависимостей проекта на публично известные уязвимости.

Платформа анализа рисков компонентов в цепочке поставок на основе SBOM.

Утилита командной строки от PyPA для проверки Python-окружений и зависимостей на известные уязвимости.

Сканер известных уязвимостей в JavaScript-библиотеках.

Корпоративное решение для управления рисками open source, аудита кода перед сделками M&A и контроля лицензий.

Сканер Python-зависимостей по собственной базе уязвимостей. Разработчик сместил фокус на защиту рабочих мест разработчиков (ИИ-агенты, пакеты, MCP-серверы).

Облачный сервис поиска и исправления уязвимостей в сторонних библиотеках и open source-пакетах. Мейнтейнеры открытых проектов могут бесплатно использовать платформу по программе Snyk Secure Developer.

SCA-инструмент защиты цепочки поставок. Выявляет вредоносный код и аномальное поведение пакетов. Открытые проекты под OSI-лицензиями могут бесплатно получить тариф Business.

Платформа контроля компонентов и безопасности цепочки поставок ПО на всех этапах SDLC.

CLI-инструмент и библиотека для генерации SBOM из образов контейнеров и файловых систем.

Универсальный сканер уязвимостей в зависимостях кода, контейнерах и конфигурациях IaC. Также ищет секреты и проверяет лицензии.

Модуль анализа прямых и транзитивных зависимостей на уязвимости.

Безагентная платформа автоматизации управления конфигурациями, развёртывания приложений и оркестрации. Коммерческая версия — Red Hat Ansible Automation Platform.

Статический анализатор конфигураций IaC для поиска ошибок конфигурации и небезопасных настроек. Разработчик — Palo Alto Networks (изначально Bridgecrew).

Инструмент автоматизации инфраструктуры, описывающий конфигурации кодом на Ruby. Разработчик — Progress Software.

Открытый форк Terraform под эгидой Linux Foundation. Совместим с провайдерами и модулями Terraform, поддерживает встроенное шифрование state-файлов.

Агентная система управления конфигурациями для автоматизации жизненного цикла инфраструктуры. С 2025 г. Perforce не публикует открытые сборки; сообщество развивает форк OpenVox.

Инструмент HashiCorp для декларативного описания, создания и версионирования инфраструктуры (IaC). HashiCorp с 2025 г. — компания IBM.

Сервис хостинга Git-репозиториев с управлением доступом к коду в экосистеме Atlassian. Варианты: Bitbucket Cloud и Bitbucket Data Center.

Решение для централизованного управления учётными записями, правами доступа и политиками безопасности инфраструктуры. Поддерживает доверительные отношения с Active Directory.

Система обязательного код-ревью изменений перед их интеграцией в защищённую ветку.

Российская платформа для работы с Git-репозиториями и автоматизации жизненного цикла разработки от ООО "Ресолют": код-ревью, разграничение прав доступа, CI/CD и встроенный поиск секретов на базе Gitleaks. Внесена в реестр российского ПО.

Платформа хостинга репозиториев с контролем целостности кода и инструментами совместной работы.

DevSecOps-платформа с системой контроля версий, код-ревью и разграничением прав доступа. По программе GitLab for Open Source открытые проекты получают тариф Ultimate бесплатно.

Криптографический пакет для шифрования и электронной подписи, в том числе коммитов и релизных артефактов.

Система управления идентификацией и доступом с поддержкой единого входа (SSO).

Веб-инструмент код-ревью для контроля изменений исходного кода.

Инфраструктура прозрачной подписи и верификации артефактов для защиты цепочки поставок ПО. Компоненты: Cosign, Fulcio, Rekor; проект OpenSSF.

Российская программа фиксации и контроля исходного состояния программного комплекса: расчёт контрольных сумм файлов и каталогов, сравнение версий, формирование отчётов для сертификационных испытаний.

Система отслеживания ошибок для учёта дефектов и уязвимостей на протяжении всего их жизненного цикла.

Система отслеживания задач и ошибок, управления проектами и запросами на изменения. Открытые проекты под OSI-лицензиями могут получить бесплатную облачную подписку.

Система управления проектами с открытым исходным кодом: задачи, ошибки и управление изменениями.

Платформа управления уязвимостями. Агрегирует результаты сканеров и отслеживает устранение найденных проблем. Более 500 интеграций; есть коммерческая версия DefectDojo Pro.

Веб-приложение для управления проектами и отслеживания ошибок с разграничением доступа.

Платформа реагирования на инциденты ИБ для совместной работы аналитиков и расследования атак. Разработчик — StrangeBee; есть бесплатная Community-редакция.

Трекер задач и ошибок от JetBrains с гибкой настройкой рабочих процессов и расширенным поиском. JetBrains предоставляет открытым проектам бесплатные лицензии.

Российская система управления проектами, задачами и изменениями от "Ростелекома" (ООО "РТК ИТ"). Позиционируется как замена Jira; поддерживает миграцию из Jira и Confluence. Внесена в реестр российского ПО.

Декларативный GitOps-инструмент непрерывной доставки в Kubernetes с аудитом развёртываний.

CI/CD-сервер Atlassian, интегрированный с Jira и Bitbucket, для управления сборкой и развёртыванием. Поддержка Bamboo Data Center завершается 28.03.2029.

Инструмент идентификации реквизитов сборки ПО: фиксирует состав и параметры сборочного окружения, помогая подтвердить воспроизводимость и целостность процесса сборки.

Облачная CI/CD-платформа с изолированными средами сборки и контролем доступа к пайплайнам. Есть self-hosted вариант CircleCI Server. Для открытых проектов действует бесплатный план с увеличенным лимитом кредитов.

Платформа автоматизации сборки, тестирования и выпуска непосредственно в репозитории GitHub. Поддерживает собственные (self-hosted) раннеры. Для публичных репозиториев стандартные раннеры бесплатны.

Встроенная в GitLab система CI/CD с контролем целостности артефактов и защитой конвейера сборки. По программе GitLab for Open Source открытые проекты получают тариф Ultimate бесплатно.

Фреймворк криптографической защиты целостности артефактов на каждом этапе конвейера сборки.

Расширяемый сервер CI/CD. Плагины позволяют настраивать изолированные среды сборки и встраивать проверки безопасности.

Открытая платформа автоматизированной сборки пакетов и дистрибутивов (RPM, DEB и др.) в воспроизводимых изолированных окружениях. Разработка сообщества openSUSE.

Мультиоблачная платформа непрерывной доставки с безопасными стратегиями развёртывания и откатом изменений.

CI/CD-сервер JetBrains для централизованного управления сборкой, тестированием и поставкой ПО. JetBrains предоставляет открытым проектам бесплатные лицензии.

Cloud-native фреймворк для построения CI/CD-систем с изоляцией шагов сборки в контейнерах.

Облачный сервис AWS для хранения, ротации и выдачи учётных данных баз данных и ключей API.

Сканер секретов от автора Gitleaks, написанный с нуля. Поддерживает правила на CEL, обработку закодированных секретов и параллельный анализ истории Git.

Модуль платформы CodeScoring для поиска ключей API, паролей, токенов и сертификатов в коде и истории Git. Использует движки Gitleaks, TruffleHog и Kingfisher и собственную ML-модель для снижения числа ложных срабатываний. Внесён в реестр российского ПО.

Российская система управления секретами: хранение, выдача и ротация токенов, паролей и сертификатов, интеграция с Kubernetes. Внесена в реестр российского ПО.

Сканер паролей, токенов и других секретов в файловых системах, репозиториях и образах контейнеров.

Утилита Yelp для поиска секретов, встраиваемая в pre-commit-хуки. Предотвращает попадание конфиденциальных данных в репозиторий.

Утилита командной строки для поиска строк с высокой энтропией (потенциальных ключей, токенов и паролей) в файлах и каталогах проекта.

Утилита AWS Labs, предотвращающая попадание учётных данных в историю Git. Применяется как pre-commit-хук.

Корпоративная платформа обнаружения секретов в исходном коде, конфигурациях и пайплайнах.

Сканер захардкоженных секретов (ключей API, токенов, паролей) в исходном коде и истории коммитов Git. Автор объявил проект завершённым (только исправления безопасности) и развивает преемника — Betterleaks.

Система безопасного хранения секретов (токенов, паролей, ключей, сертификатов) и управления доступом к ним. HashiCorp с 2025 г. — компания IBM.

Российская система управления секретами: централизованное хранение паролей, ключей и сертификатов, разграничение доступа и аудит обращений. Внесена в реестр российского ПО.

Сканер секретов в истории Git, облачных хранилищах и файловых системах. Проверяет, активны ли найденные ключи.

Статический анализатор от Skyscanner для поиска захардкоженных секретов в коде и конфигурационных файлах. Проект не развивается: репозиторий архивирован в 2023 г.

Платформа IAST и RASP. Contrast AST (ранее Assess) выявляет уязвимости во время тестирования, Contrast ADR (ранее Protect) обнаруживает и блокирует атаки в работающем приложении.

RASP-решение для защиты от известных атак и уязвимостей нулевого дня без изменения исходного кода. Imperva входит в группу Thales.

RASP-решение Baidu. Встраивается в среду выполнения и блокирует RCE, SQL-инъекции и другие атаки без сигнатур. Проект не развивается: новых релизов нет несколько лет.

Корпоративная платформа защиты cloud-native приложений: от проверки образов в CI/CD до защиты рабочих нагрузок в Kubernetes. Варианты развёртывания: SaaS, self-hosted, air-gapped.

Статический сканер уязвимостей в образах контейнеров. Интегрируется в реестры (Quay, Harbor).

Средство обнаружения угроз в реальном времени для cloud-native сред. Анализирует системные вызовы ядра с помощью eBPF.

Реестр образов с открытым исходным кодом. Поддерживает RBAC, подпись образов и сканирование уязвимостей перед развёртыванием.

Решение для защиты контейнерных сред на всех этапах: проверка образов и реестров в CI/CD, контроль конфигураций и защита кластеров Kubernetes в рантайме. Внесено в реестр российского ПО.

Российское решение для наблюдаемости и защиты контейнерных сред и кластеров Kubernetes. Внесён в реестр российского ПО (№15188).

Платформа защиты контейнеров по модели Zero Trust: глубокая инспекция трафика (DPI), сегментация и защита в рантайме.

Решение для контроля безопасности контейнерной инфраструктуры: анализ образов, контроль соответствия политикам и выявление угроз в кластерах Kubernetes. Внесено в реестр российского ПО.

Платформа безопасности API по принципу shift-left: аудит спецификаций OpenAPI, динамическое тестирование и микро-файрволы для защиты эндпоинтов. Также проверяет MCP-серверы по OWASP MCP Top 10.

Платформа управления состоянием безопасности API: безагентное обнаружение API, защита в рантайме и тестирование уязвимостей в CI/CD.

Платформа защиты API на основе ИИ. Находит теневые и устаревшие API, MCP-серверы и ИИ-агентов, блокирует атаки в реальном времени.

Российский межсетевой экран прикладного уровня (WAF) от ООО "СолидСофт" для защиты веб-приложений и API.

Платформа защиты веб-приложений и API (WAAP). Обнаруживает API, защищает от атак, в том числе нулевого дня, и проводит фаззинг на реальном трафике; развивает защиту ИИ-нагрузок.

Корпоративная платформа автоматизированного моделирования угроз и управления рисками на протяжении SDLC. Сопоставляет компоненты архитектуры с библиотеками угроз STRIDE, CAPEC, MITRE ATT&CK. С 2026 г. входит в ThreatModeler.

Бесплатное настольное приложение Microsoft. Анализирует DFD по методологии STRIDE и формирует отчёт об угрозах с рекомендациями.

Российский инструмент определения поверхности атаки: трассирует выполнение программы в эмуляторе и выявляет компоненты, обрабатывающие внешние данные. Внесён в реестр российского ПО.

Сканер сети для обнаружения узлов, открытых портов и сервисов. Применяется при описании поверхности атаки и проверке сетевого периметра.

Кроссплатформенный инструмент моделирования угроз с открытым кодом. Строит DFD и выявляет угрозы по методологиям STRIDE, LINDDUN, CIA, DIE и PLOT4ai; работает как настольное и как веб-приложение.

Фреймворк OWASP для подхода Threat Modeling as Code. Система описывается на Python, DFD, диаграммы последовательностей и отчёты об угрозах формируются автоматически.

ASPM-платформа, строящая граф рисков приложения по коду, конфигурациям и архитектуре. Приоритизирует уязвимости с учётом бизнес-контекста. Развивает защиту ИИ-разработки (Guardian Agent).

Российская ASOC/ASPM-платформа. Объединяет результаты инструментов безопасности, автоматизирует триаж и дедупликацию, встраивает политику ИБ в процесс разработки.

ASPM-платформа, агрегирующая результаты AppSec-инструментов (SAST, DAST, SCA, поиск секретов). Нормализует, дедуплицирует и приоритизирует уязвимости, интегрируется с трекерами задач. Более 400 интеграций.

ASPM-платформа, безагентно восстанавливающая архитектуру приложения (микросервисы, базы данных, API). Связывает уязвимости кода с состоянием облачной среды.

Российская платформа баг-баунти с управляемым триажем отчётов и интеграцией в корпоративные процессы.

Независимая российская платформа баг-баунти, связывающая исследователей безопасности с компаниями.

Российская платформа баг-баунти, ориентированная на подход результативной кибербезопасности и проверку недопустимых для бизнеса событий.

Платформа баг-баунти и краудсорсингового пентеста (PTaaS) с собственной таксономией уязвимостей VRT. Также предлагает Red Team as a Service.

Платформа краудсорсинговой безопасности: баг-баунти, программы раскрытия уязвимостей (VDP), пентест и AI Red Teaming.

Платформа баг-баунти для Web3: смарт-контракты, DeFi-протоколы и блокчейн-инфраструктура.

Европейская платформа баг-баунти с верификацией исследователей и соблюдением GDPR. Также предлагает PTaaS и управляемые программы раскрытия уязвимостей.

Европейская платформа публичных и приватных программ баг-баунти. Также предлагает агентный пентест и управление поверхностью атаки.

Фреймворк автоматизации тестирования мобильных приложений (iOS, Android, Windows). Применяется в том числе для динамических проверок безопасности.

Платформа оценки защищённости мобильных приложений: анализ бинарных файлов, поиск утечек данных, уязвимостей и небезопасных вызовов API. Также формирует SBOM и отслеживает копии приложения в магазинах.

Облачная система тестирования мобильных приложений с акцентом на безопасность бэкенд-API, утечки трафика и сторонние SDK.

Российская платформа анализа исходного кода и бинарных файлов (APK, IPA) мобильных приложений с привязкой к OWASP Mobile Top 10 и MASVS. Внесена в реестр российского ПО.

Фреймворк оценки безопасности Android-приложений от Reversec (ранее WithSecure Labs). Взаимодействует с запущенным приложением и исследует его поверхность атаки.

Фреймворк статического и динамического анализа безопасности мобильных приложений под Android, iOS и Windows.

Платформа автоматизированного тестирования безопасности мобильных приложений (SAST, DAST, IAST) с интеграцией в CI/CD. Компания развивает открытые инструменты Frida и radare2.

Платформа автоматизированного SAST/DAST-сканирования iOS- и Android-приложений на уязвимости, утечки данных и вредоносные компоненты.

Статический анализатор исходного кода и APK-файлов Android-приложений на уязвимости. Проект не развивается.

Корпоративный набор для проверки мобильных приложений (zScan) и их защиты в продакшене: обфускация (zShield), защита ключей (zKeyBox) и RASP (zDefend).

Движок правил (policy as code) для управления безопасностью, соответствием требованиям и затратами в мультиоблачных средах. Инкубационный проект CNCF.

Облачный сервис безопасности Datadog: безагентное сканирование, аудит конфигураций (CSPM), анализ прав доступа (CIEM) и обнаружение угроз.

Решение для защиты облачных рабочих нагрузок (CWPP) и контроля конфигураций (CSPM) в мультиоблачных и гибридных средах. Базовый уровень (Foundational CSPM) предоставляется бесплатно.

Корпоративная платформа Palo Alto Networks для постоянного контроля конфигураций, соответствия требованиям и безопасности облачных ресурсов. Преемник — платформа Cortex Cloud (с 2025 г.).

Инструмент аудита безопасности облачной инфраструктуры и проверки соответствия стандартам (CIS, GDPR, HIPAA и др.).

Инструмент мультиоблачного аудита безопасности от NCC Group для поиска ошибок конфигурации.

CNAPP-платформа Tenable (бывший продукт Ermetic): аудит конфигураций, анализ прав доступа (CIEM), проверка IaC и защита облачных нагрузок.

Облачная платформа безопасности (CNAPP/CSPM), безагентно выявляющая критические риски в мультиоблачной среде. С марта 2026 г. — часть Google Cloud.

Инструмент экосистемы Kubernetes для генерации SBOM при выпуске проектов из исходного кода и контейнеров.

Инструмент подписи образов контейнеров, артефактов и SBOM. Позволяет привязать SBOM к образу и исключить подмену в цепочке поставок.

Корпоративная платформа хранения, обогащения и управления SBOM для контроля уязвимостей и лицензионных рисков.

Утилита экосистемы OWASP CycloneDX для создания, валидации, конвертации, сравнения, подписи и слияния SBOM.

Решение Docker, которое формирует SBOM по слоям образа, сопоставляет компоненты с уязвимостями и предлагает обновления базового образа. Участникам программы Docker-Sponsored Open Source тариф Team предоставляется бесплатно.

Платформа безопасности приложений: SCA с анализом достижимости (reachability), AI SAST, поиск секретов и проверка контейнеров. Показывает, вызывается ли уязвимый код компонента на самом деле.

Инкубационный проект OpenSSF, созданный Google и Kusari. Объединяет SBOM, подписи и VEX-документы в граф связей и рисков цепочки поставок ПО.

SaaS-платформа управления SBOM. Позволяет поставщикам и заказчикам обмениваться спецификациями, отслеживать уязвимости и генерировать VEX-документы.

Кроссплатформенная CLI-утилита Microsoft для автоматической генерации SBOM в CI/CD. Также проверяет корректность SBOM.

Набор инструментов для автоматизации проверок лицензий и безопасности open source-зависимостей с формированием SBOM.

CLI-инструмент генерации SBOM в формате SPDX (Linux Foundation) по файлам зависимостей проекта. Проект не развивается: репозиторий архивирован в январе 2025 г., авторы рекомендуют Trivy или Syft.

Утилита аудита образов контейнеров. Анализирует каждый слой и формирует SBOM с указанием шага, на котором добавлен пакет.

CLI-утилита для создания, объединения и применения VEX-документов. Позволяет помечать уязвимости в SBOM как неэксплуатируемые и снижать шум.