SecFlow - DevSecOps-платформа для автоматизации безопасной разработки программного обеспечения

Проект направлен на разработку единой DevSecOps-платформы, объединяющей процессы разработки, сборки и проверки безопасности программного обеспечения в единую управляемую среду. Основная проблема, на решение которой ориентирован проект, заключается в разрозненности инструментов информационной безопасности, сложности их интеграции в CI/CD-конвейеры, высоких затратах на настройку и сопровождение, а также отсутствии единого механизма анализа результатов проверок и контроля устранения уязвимостей.

Разрабатываемое решение представляет собой программную платформу с самостоятельным размещением в инфраструктуре заказчика (self-hosted / on-premise). Предусматривается автоматизированное развёртывание основных компонентов на подготовленном Linux-сервере, включая систему управления репозиториями Git, инструменты CI/CD, средства анализа безопасности исходного кода и зависимостей, поиск секретов, проверку контейнерных образов и динамическое тестирование приложений. В состав платформы также планируется включить собственный веб-портал и API, централизованное управление результатами проверок, разграничение доступа, хранилища артефактов и секретов, а также механизм применения политик безопасности.

Основной принцип работы платформы заключается в автоматизации проверок на этапах разработки и сборки программного обеспечения. При изменении исходного кода запускается соответствующий конвейер, выполняющий предусмотренные проверки. Их результаты собираются в едином контуре, где можно анализировать обнаруженные проблемы, определять критичность, назначать ответственных за устранение и контролировать повторную проверку. Предусматривается возможность блокировки сборки или дальнейшего продвижения релиза при выявлении критических нарушений установленных правил, если для них не оформлено утверждённое исключение. Собранные артефакты и контейнерные образы предполагается хранить в соответствующих хранилищах платформы.

Технологической основой служат собственные программные компоненты и интегрируемые инструменты с открытым исходным кодом, включая Gitea, Gitea Actions, Keycloak, OpenBao, PostgreSQL, Pulp, Harbor, Gitleaks, Trivy, профильные средства статического анализа кода, Syft и OWASP ZAP. Добавленная стоимость проекта формируется не созданием отдельного сканера, а разработкой автоматизированного установщика, интеграционного слоя, готовых шаблонов CI/CD, единого интерфейса, механизмов обработки результатов и воспроизводимых процедур обновления и эксплуатации. Применение открытых компонентов не исключает затрат на инфраструктуру, интеграцию и сопровождение, а также необходимости проверки лицензий и совместимости.

Целевыми потребителями являются российские организации с собственной разработкой программного обеспечения: промышленные и энергетические предприятия, ИТ-компании, системные интеграторы, организации с несколькими командами разработки и предприятия, работающие в закрытых сетевых контурах. Платформа предназначена для сокращения объёма ручной интеграции инструментов, упрощения эксплуатации процессов безопасной разработки и повышения прозрачности контроля уязвимостей при сохранении исходного кода и результатов анализа внутри инфраструктуры заказчика.

Бизнес-модель предусматривает получение дохода от внедрения и интеграции платформы, настройки процессов и политик безопасности, технической поддержки, обновления компонентов, обучения пользователей и разработки индивидуальных интеграций. В качестве предварительных ценовых гипотез рассматриваются пилотные проекты стоимостью 0,2–0,5 млн рублей, внедрение стоимостью 1,0–2,0 млн рублей и годовая поддержка стоимостью 1,5–3,0 млн рублей. Эти значения требуют проверки в ходе исследования потребителей и коммерческих пилотов.

На текущем этапе концепция проекта сформирована, архитектура предложена, основные технологические компоненты предварительно определены, ведётся работа над прототипом. Интегрированный MVP, результаты полноценных испытаний, пилотные внедрения и коммерческие договоры пока не подтверждены представленными материалами. Дальнейшее развитие предполагает реализацию сквозного CI/CD-конвейера с проверками безопасности, тестирование автоматизированного развёртывания и механизмов защиты, проверку совместимости компонентов, проведение пилотов с потенциальными заказчиками и подготовку платформы к коммерческому внедрению.

На страницу проекта