NEOMSA APIM 4.6.0: как мы устранили уязвимости Critical и High из БДУ ФСТЭК

Компания Neoflex выпустила NEOMSA APIM 4.6.0, сосредоточившись на устранении критических уязвимостей из БДУ ФСТЭК. В результате проверок количество находок сократилось с 57 до 7, а уязвимостей уровней Critical и High не осталось. Рассказываем, как устроен процесс безопасной разработки и почему это важно для пользователей.

Neoflex, российский разработчик платформы управления API NEOMSA APIM, объявил о выходе версии 4.6.0. Главная особенность релиза — усиление безопасности состава поставки: команда провела полный цикл проверок в рамках безопасной разработки (SSDLC), сформировала SBOM, проанализировала компоненты и зависимости на известные уязвимости (SCA) и сопоставила результаты с БДУ ФСТЭК России. По итогам повторной проверки количество зарегистрированных находок сократилось с 57 до 7, при этом уязвимостей уровней Critical и High в финальной сборке не осталось. В статье на Habr разработчики подробно описали, как устроена проверка перед выпуском и какой критерий безопасности используется для принятия решения о готовности релиза.

Что изменилось в NEOMSA APIM 4.6.0 и как проходила проверка безопасности

Релиз NEOMSA APIM 4.6.0 — это не просто очередное обновление функциональности, а целенаправленная работа над безопасностью. По словам команды Neoflex, основным фокусом стало повышение безопасности состава поставки платформы. В рамках процесса SSDLC они сформировали SBOM (Software Bill of Materials) — полный перечень компонентов и зависимостей, входящих в продукт. Затем с помощью инструментов SCA (Software Composition Analysis) проверили каждый компонент на наличие известных уязвимостей, сопоставили результаты с БДУ ФСТЭК России — базой данных уязвимостей, которую ведет Федеральная служба по техническому и экспортному контролю. После этого проблемные библиотеки были обновлены до безопасных версий.

Повторная проверка показала впечатляющий результат: количество находок сократилось с 57 до 7, причем все оставшиеся уязвимости относятся к низкому уровню опасности (Low) и не влияют на безопасность продукта в целом. Это стало возможным благодаря строгому процессу, который включает не только автоматизированные проверки, но и ручной анализ каждого компонента. Для пользователей это означает, что платформа стала значительно более защищенной от известных атак, что особенно важно для компаний, работающих с критическими данными и требующих соответствия требованиям регуляторов.

Предыстория и контекст: почему безопасность API стала критической

Рост количества кибератак на API-интерфейсы — один из главных трендов последних лет. По данным различных исследований, API стали основной целью злоумышленников, поскольку через них можно получить доступ к внутренним системам и данным. В России требования к безопасности программного обеспечения ужесточаются: регуляторы, включая ФСТЭК, требуют от разработчиков учитывать уязвимости из БДУ при создании и обновлении продуктов. Это особенно актуально для платформ, используемых в государственных и корпоративных системах, где утечка данных может иметь серьезные последствия.

Neoflex, как российский вендор, обязан соответствовать этим требованиям. Компания уже давно внедрила SSDLC-подход, который включает анализ безопасности на каждом этапе разработки. Релиз 4.6.0 стал логичным продолжением этой стратегии: команда не только исправила найденные уязвимости, но и улучшила процесс проверки, чтобы предотвращать появление подобных проблем в будущем. Важно отметить, что работа с БДУ ФСТЭК — это не разовая акция, а постоянный процесс: база данных регулярно обновляется, и разработчики должны отслеживать новые уязвимости и оперативно реагировать на них.

Как работает процесс безопасной разработки в Neoflex?

Процесс SSDLC в Neoflex включает несколько этапов. На этапе планирования формируется SBOM — перечень всех компонентов, которые будут использоваться в продукте. Затем на этапе разработки и сборки проводится SCA-анализ: специальные инструменты сканируют зависимости и сверяют их с базами уязвимостей, включая БДУ ФСТЭК. Если находятся уязвимости, команда оценивает их критичность и принимает решение: обновить библиотеку, применить патч или, если это невозможно, задокументировать риск и разработать меры компенсации. После внесения изменений проводится повторная проверка, и только если все критичные и высокие уязвимости устранены, релиз признается готовым к выпуску.

Критерий безопасности для готовности релиза в Neoflex прост и строг: в финальной сборке не должно быть уязвимостей уровней Critical и High из БДУ ФСТЭК. Уязвимости уровня Medium и Low допускаются, но только если они не влияют на безопасность продукта и для них есть обоснование. Такой подход позволяет балансировать между скоростью выхода релизов и требованиями безопасности, что особенно важно в условиях быстро меняющегося ландшафта угроз.

Технические детали: как обновлялись библиотеки и что осталось в итоге

В ходе подготовки релиза 4.6.0 команда Neoflex обновила несколько ключевых библиотек, которые содержали уязвимости из БДУ ФСТЭК. Среди них были как популярные open-source компоненты, так и специализированные зависимости, используемые в платформе. Например, были обновлены библиотеки для работы с сетевыми протоколами, обработки данных и аутентификации. Точный список библиотек в статье не раскрывается, но подчеркивается, что все обновления были протестированы на совместимость и не привели к регрессам в функциональности.

Оставшиеся 7 уязвимостей уровня Low — это, как правило, незначительные проблемы, которые не могут быть использованы злоумышленниками для атаки на платформу. Например, это могут быть уязвимости, требующие локального доступа или специфических условий, которые в реальных сценариях эксплуатации не встречаются. Тем не менее, команда продолжает мониторить эти находки и планирует устранить их в будущих релизах. Важно, что процесс проверки не останавливается: после выпуска 4.6.0 команда продолжает отслеживать новые уязвимости в БДУ ФСТЭК и других базах, чтобы оперативно реагировать на угрозы.

Кого затронет новый релиз и как это повлияет на пользователей

Новый релиз NEOMSA APIM 4.6.0 в первую очередь важен для существующих и потенциальных клиентов Neoflex — компаний, которые используют платформу для управления API. Это могут быть банки, ритейлеры, телеком-операторы, государственные организации и другие предприятия, где безопасность API является критической. Для них обновление означает не только устранение известных уязвимостей, но и соответствие требованиям регуляторов, что особенно актуально для организаций, поднадзорных ФСТЭК. Кроме того, повышение безопасности платформы снижает риски утечек данных и атак, что в конечном итоге экономит деньги и репутацию.

Для разработчиков, которые используют NEOMSA APIM в своих проектах, обновление также важно: они получают более безопасную платформу, на которой можно строить надежные решения. Особенно это актуально для компаний, работающих в сфере финтеха или госсектора, где требования к безопасности особенно высоки. Российский рынок импортозамещения также играет роль: NEOMSA APIM позиционируется как альтернатива зарубежным API-платформам, и соответствие БДУ ФСТЭК делает ее более привлекательной для организаций, которые обязаны использовать сертифицированные решения.

Что будет дальше: планы по безопасности и развитию платформы

Neoflex не планирует останавливаться на достигнутом. В статье упоминается, что процесс безопасной разработки будет продолжаться, и команда будет регулярно обновлять компоненты по мере появления новых уязвимостей в БДУ ФСТЭК. Следующие релизы, вероятно, будут включать не только исправления безопасности, но и новые функциональные возможности, однако безопасность останется приоритетом. Также можно ожидать, что компания будет расширять сотрудничество с ФСТЭК и другими регуляторами, чтобы быть в курсе новых требований и стандартов.

В долгосрочной перспективе Neoflex стремится сделать свою платформу одной из самых безопасных на российском рынке. Это включает не только технические меры, но и совершенствование процессов разработки, а также повышение прозрачности для клиентов — например, публикацию SBOM и отчетов о проверках. Для пользователей это означает, что они могут рассчитывать на стабильную и защищенную платформу, которая будет соответствовать самым строгим требованиям безопасности.

Итог

Релиз NEOMSA APIM 4.6.0 — это важный шаг в повышении безопасности российской платформы управления API. Устранив все уязвимости уровней Critical и High из БДУ ФСТЭК, Neoflex продемонстрировал серьезный подход к безопасной разработке. Для пользователей это гарантия того, что платформа соответствует современным требованиям безопасности и может использоваться в самых ответственных проектах. Следить за развитием NEOMSA APIM стоит всем, кто работает с API в России, поскольку безопасность становится ключевым фактором выбора программного обеспечения.