EDS запустил SAST и SCA: уязвимости кода и зависимостей — в одном дашборде с бизнесом

EGAR Development выпустил в платформе EDS слой анализа уязвимостей: отчёты сканеров Semgrep, Trivy и OWASP Dependency-Check разбираются автоматически, а число находок в коде и известных уязвимостей в зависимостях по уровням серьёзности ложится в ту же базу, где уже живут метрики Jira, GitLab CI, SonarQube и финансовые KPI.

До сих пор безопасность кода в EDS была представлена метриками SonarQube — взглядом на собственный код продукта. Не хватало второй половины картины: что приходит в продукт извне. Значительную часть современного приложения составляют сторонние библиотеки, и именно в них регулярно находят известные уязвимости (CVE). Теперь EDS видит и то, и другое.

Два вида находок, один механизм

• SAST — статический анализ исходного кода: небезопасные конструкции, возможные инъекции, ошибки конфигурации контейнеров и веб-серверов. Источник — Semgrep и любой другой инструмент, умеющий отдавать отчёт в формате SARIF.
• SCA — анализ состава ПО: какие из подключённых библиотек содержат известные уязвимости из баз CVE. Источники — Trivy и OWASP Dependency-Check.

Формат отчёта определяется автоматически: SARIF 2.1.0, JSON Trivy, JSON Dependency-Check. Слой не зависит от языка программирования: EDS разбирает отчёты, а стек — Java, TypeScript, Python, C# и другие — определяют сами сканеры, поэтому настраивать платформу под конкретный язык не нужно.

9 новых метрик

metric_id	Единица	Что показывает
sast.critical / high / medium / low	count	Находки статического анализа кода по четырём уровням серьёзности
sca.critical / high / medium / low	count	Известные уязвимости в зависимостях по четырём уровням серьёзности
sca.vulnerable_packages	count	Сколько подключённых библиотек содержат хотя бы одну известную уязвимость

Каждая загрузка — это снимок на дату сканирования, поэтому в дашборде видна динамика: растёт или сокращается число уязвимостей от релиза к релизу, и как это соотносится с выручкой, маржой и оттоком клиентов. Если сканер отработал и ничего не нашёл, EDS записывает нули — «чисто» отличается от «не сканировали».

Архитектура

Semgrep (SAST) ──┐
Trivy    (SCA)  ──┼─► отчёты SARIF / JSON
Dependency-Check ─┘        │
                           ▼
              разбор + дедупликация находок
              (одна CVE от двух сканеров — один раз)
                           │
                           ▼
Postgres eds-db / таблица eds.metrics  ──► EDS UI · AI-ассистент · Telegram-бот

Сканеры запускаются там, где удобно клиенту: в CI-конвейере или по расписанию на любом хосте с Docker, — EDS забирает готовые отчёты. Платформа не привязана к конкретному инструменту: любой сканер, который отдаёт SARIF, подключается без доработок.

Что это даёт клиенту

• Полная картина безопасности. Код продукта (SonarQube, Semgrep) и его зависимости (Trivy, Dependency-Check) — в одном месте, а не в четырёх разных отчётах.
• Безопасность в связке с бизнесом. EDS умеет проверять, как число уязвимостей соотносится со скоростью поставки (DORA), выручкой и оттоком клиентов за период наблюдения.
• Один механизм для разных стеков. Добавление нового продукта в анализ — это каталог с отчётами сканеров, а не новая интеграция под язык.
• On-premise. Сканеры и платформа работают внутри периметра клиента, исходный код никуда не отправляется. Подходит для банков и госструктур.

Что дальше

• Сканирование остальных продуктов — Limits Manager, Connect, Terminal, Focus на .NET.
• Автоматический запуск сканов по расписанию через интеграционную шину, по образцу коннекторов Jira, GitLab CI и SonarQube.
• ML-предсказание дефектов — обучаемая модель на исторических данных клиента, которая оценивает вероятность проблемы до слияния изменений.

О компании

EGAR Development — российская технологическая компания, специализирующаяся на enterprise-решениях для финансового сектора и tech-индустрии. EDS — флагманский продукт направления engineering analytics. Резидент инновационного центра «Сколково» (анкета №206538).

EGAR Development · 2026