Международный аэропорт «Пулково» соединяет Санкт-Петербург с 115 направлениями по России и зарубежью и занимает второе место среди российских аэропортов по объему перевозок. В 2025 году услугами воздушной гавани воспользовались 20,7 млн человек. Аэропорт «Пулково» одним из первых в России тестирует и внедряет технологии на основе биометрии, ИИ, а также ИТ-системы, которые становятся стандартом для отрасли, поддерживают стабильную работу транспортного узла и улучшают клиентский опыт для пассажиров.
В направлении безопасной разработки ПО управляющая компания международного аэропорта «Пулково» (ООО «Воздушные Ворота Северной Столицы») выбрала в качестве партнера группу компаний «Солар». Служба по обеспечению информационной безопасности внедрила использование комплексной платформы для безопасности приложений Solar appSсreener с первых этапов разработки ПО. Это позволило выстроить полноценный подход Shift-Left, сократить сроки выхода релизов ПО (time-to-market) и автоматизировать выполнение требований ГОСТ-Р 56939-2024 по экспертизе исходного кода для софта, который используется в инфраструктуре аэропорта.
Как отмечает Сергей Савченко, начальник службы по обеспечению информационной безопасности аэропорта Пулково, команда разработки около трех лет использовала решение другого вендора в процессах DevSecOps (РБПО). Но с ростом объема разработки и штата ИТ-команды потребовался продукт с более широкими возможностями статического и динамического анализа кода.
Модули статического и динамического анализа кода Solar appScreener внедрены напрямую в интегрированную среду разработки (IDE, Integrated Development Environment) и используются для выявления уязвимостей на самых ранних этапах. Разработчики получают обратную связь о потенциальных дефектах в процессе написания кода. Интеграция Solar appScreener в интегрированную среду разработки (IDE) позволила сотрудникам получать немедленную обратную связь о возможных дефектах прямо в процессе написания кода. Такой подход значительно сократил число ошибок, попадающих в последующие этапы тестирования и производства, повысив качество выпускаемого программного обеспечения и снизив нагрузку на команду безопасности.
Использование сторонних open source-библиотек ускоряет разработку, но несет риски: через уязвимости в цепочках поставок злоумышленники могут атаковать критически важные системы аэропорта — от управления полетами до логистики багажа. С 2024 года стандарт ГОСТ-Р 56939-2024 обязывает бизнес внедрять инструменты композиционного анализа (OSA/SCA) для проверки всех заимствованных компонентов перед их использованием в инфраструктуре. Модуль OSA в составе Solar appScreener автоматически инвентаризирует все зависимости и проверяет их по базам известных уязвимостей (CVE), предотвращая инциденты еще на этапе написания кода. Кроме того, инструмент анализирует лицензионную чистоту библиотек и исключает юридические риски, которые могли бы привести к блокировке эксплуатации готового решения или судебным искам.
«Подход Shift-Left кардинально экономит ресурсы: проверять код только в финале жизненного цикла разработки рискованно. Уязвимость, найденная на поздних этапах разработки, может остановить проект или потребовать дорогостоящей переработки уже запущенных систем. Намного удобнее отдать инструмент программистам, чтобы они сами смотрели, где нужно внести правки, еще в процессе написания кода. В финале перерабатывать код гораздо «больнее», особенно, когда речь идет о софте для инфраструктуры аэропорта, − дополняет Сергей Савченко, начальник службы по обеспечению информационной безопасности аэропорта Пулково
Переход на Solar appScreener также помог частично компенсировать нехватку AppSec-специалистов. Автоматизация рутинных проверок силами разработчиков позволила снять часть нагрузки по триажу и кодфиксу с небольшой команды AppSec-специалистов и освободить их для решения сложных архитектурных задач, требующих высокой квалификации, согласно ГОСТ-Р 56939-2024.
Как отмечает Сергей Савченко, отдельным вызовом для безопасной разработки стал ИИ, который массово используется для вайбкодинга. «Мы пристально проверяем такой код с точки зрения информационной безопасности, но последнее слово всегда должно быть за человеком. Остановка работы аэропорта из-за ошибки ИИ – недопустима».
«Подход Shift-Left, который внедрил аэропорт Пулково, – это отличный пример зрелого подхода к процессам безопасной разработки. Наше решение встроено в повседневную работу ИТ-команды, которая создает софт для транспортной инфраструктуры федерального масштаба. Возможности продукта позволяют ИТ-командам, работающим над несколькими приложениями или проектами, приоритизировать и одновременно загружать на анализ кода несколько проектов в зависимости от их значимости и масштаба без потери времени на тестирование», − подчеркивает Владимир Высоцкий, руководитель направления развития бизнеса ПО Solar appScreener.
Последнее обновление статического анализатора (SAST) Solar appScreener использует все возможности современных многоядерных процессоров для параллельного анализа файлов. Администраторы могут гибко настраивать количество используемых ядер или вовсе снять ограничения для максимальной производительности. Это напрямую влияет на скорость сканирования, получение результатов анализа и таким образом сокращает время разработки, затраты на инфраструктуру и в 10 раз повышает потенциальную емкость команды AppSec.
Результаты более глубокого анализа и разбор уязвимостей и дальнейший кодфикс можно передать специально обученному ИИ-плагину, который работает в закрытом контуре (on-premise), что исключает риски утечки данных. LLM-модель, обученная на данных софтверных проектов демонстрирует более 90% точности на этапе верификации (триаж) и до 85% на этапе исправления уязвимостей (кодфикс).
Источник: habr.com