Набор инструментов безопасности приложений

## Обзор

Унифицированный рабочий процесс AppSec, охватывающий код, зависимости и работающие цели — три взаимодополняющих подхода к сканированию в одном плагине.

- **sast-semgrep** — Статический анализ: сканирует исходный код на уязвимости с сопоставлением OWASP Top 10 и CWE
- **dast-nuclei** — Динамическое сканирование: проверяет работающие веб-приложения, API и инфраструктуру на наличие известных CVE и неправильных конфигураций
- **sca-trivy** — Анализ состава: проверяет зависимости, образы контейнеров и IaC на наличие CVE, рисков лицензий и генерации SBOM

## Быстрый старт

1. Установите плагин: `npx skillstore add @application-security-toolkit`
2. Запустите sast-semgrep для поиска уязвимостей в коде
3. Используйте sca-trivy для сканирования образов контейнеров и зависимостей на наличие известных CVE
4. Направьте dast-nuclei на **тестовую** цель для обнаружения уязвимостей времени выполнения

## Границы авторизации

**Важно: DAST-сканирование отправляет реальные запросы к целям.** Следуйте этим правилам:

- **Никогда не запускайте dast-nuclei против производственной среды** без явного письменного разрешения от владельца цели
- DAST-сканирование должно быть направлено на тестовые/среды разработки по умолчанию
- Используйте элементы управления ограничением скорости Nuclei (`-rate-limit`, `-bulk-size`), чтобы не перегружать цели
- sast-semgrep и sca-trivy доступны только для чтения и безопасны для запуска в любой кодовой базе без специальной авторизации
- При сканировании сторонних зависимостей с помощью sca-trivy анализируются только локальные/кэшированные артефакты — внешние запросы не выполняются

## Обработка сбоев и откат

**Принцип: Сначала отчет, никогда не исправлять автоматически. Обязательна проверка человеком.**

- Все три инструмента создают **только отчеты** — они не модифицируют исходный код и не исправляют уязвимости автоматически
- Результаты должны быть отсортированы по серьезности (Critical > High > Medium > Low) перед принятием мер
- **Ложные срабатывания ожидаемы**, особенно при сопоставлении шаблонов SAST. Всегда проверяйте результаты перед созданием PR с исправлениями
- Для интеграции с CI/CD: установите пороги серьезности (`--severity critical,high`), чтобы прерывать сборки только при подтвержденных проблемах с высоким влиянием
- Выходные данные SARIF от sca-trivy можно импортировать на вкладку GitHub Security для видимости результатов всей командой
- Сохраняйте результаты сканирования как артефакты — не удаляйте отчеты, даже если все проблемы устранены

## Основные команды

- `/sast-semgrep` — Запуск статического анализа Semgrep с маппингом фреймворка OWASP/CWE
- `/dast-nuclei` — Запуск сканирования на основе шаблонов Nuclei для целевого URL-адреса
- `/sca-trivy` — Сканирование зависимостей, контейнеров или IaC на наличие CVE и проблем с лицензиями

## Советы

- Запускайте sast-semgrep и sca-trivy в CI при каждом PR; оставьте dast-nuclei для запланированных проверок безопасности на тестовых средах
- Объедините вывод SBOM от sca-trivy с результатами sast-semgrep для полной картины рисков цепочки поставок
- Создавайте пользовательские правила Semgrep и шаблоны Nuclei для специфичных для организации паттернов безопасности