Российский разработчик ПО «Базис» представил платформу Basis Repository для безопасного хранения и проверки программных компонентов. Решение позволяет компаниям контролировать использование сторонних библиотек и open source, проверять их на уязвимости и устанавливать единые правила доступа для всех команд разработки.
Платформа разворачивается в инфраструктуре заказчика, включая изолированные контуры. Организации могут самостоятельно определять допустимые источники ПО, лицензии и версии компонентов. Разработчики получают доступ только к проверенным элементам либо к тем, использование которых отдельно согласовали ответственные специалисты. Исключения фиксируются с указанием причины и срока действия разрешения.
Проверки можно проводить вручную или по расписанию. Если в ранее одобренном компоненте обнаружится новая уязвимость, система позволяет ограничить его загрузку для всех команд. При анализе формируется перечень программных компонентов и их версий, а сведения об уязвимостях сопоставляются с Банком данных угроз ФСТЭК России.
Basis Repository также учитывает лицензии и сроки поддержки ПО. Для контроля состава передаваемых пакетов предусмотрен подписанный паспорт, позволяющий сверить полученные файлы с проверенной версией. Действия пользователей фиксируются в журнале аудита, а права распределяются в соответствии с ролями.
Решение поддерживает Linux-пакеты RPM и DEB, контейнерные образы Docker/OCI, npm, Maven, PyPI и бинарные архивы. Управлять платформой можно через веб-интерфейс и API.
По данным «Базиса», основные механизмы Basis Repository разработаны на собственной кодовой базе. Сторонние open source-решения применяются для отдельных технических задач. Создание платформы в компании объяснили растущей потребностью бизнеса в контроле безопасности сторонних компонентов, используемых при разработке ПО.