Monolit · Release notes

AI-триаж

Платформа отправляет находки в Accent страницами и забирает вердикты, когда задача готова. Размер страницы рассчитывается по таймауту AI-сервиса, поэтому каждая страница успевает обработаться целиком, сколько бы находок ни было в приложении.

Учётные записи и ввод данных

Платформа сравнивает адреса почты без учёта регистра. Пользователь входит с любым написанием адреса, а вторую учётную запись на тот же адрес в другом регистре завести нельзя. Лицензия и токены принимаются в том виде, в каком скопированы из письма или документа, вместе с переносами строк и пробелами.

Экспорт в SARIF

Результаты сканирования выгружаются в файл SARIF 2.1.0 с теми же фильтрами, что и PDF-отчёт. Открытый формат избавляет от ручного переноса данных, и находки Monolit сразу попадают в конвейеры DevSecOps и внешние анализаторы.

PDF-отчёт

PDF-отчёт стал полнее. К статическому анализу и анализу зависимостей добавились динамический анализ, обнаруженные секреты и ошибки конфигурации, поэтому один документ закрывает всю картину по приложению. Уязвимости идут по убыванию критичности, и разбор удобно вести сверху вниз.

Solar appScreener

Monolit теперь поддерживает Solar appScreener 3.16 во всех трёх режимах: статический анализ, анализ состава ПО и динамическое сканирование. Находки appScreener попадают в общую очередь наравне со встроенными сканерами, поэтому картина по приложению остаётся единой.

Уровень критичности «Неопределён»

Приоритизация стала точнее. Находки, для которых сканер не указал критичность, получают отдельный уровень «Неопределён» между «Информацией» и «Низкой» и видны в очереди отдельно. Этот же уровень доступен как порог фильтрации SAST в настройках приложения.

История решений по уязвимости

В ленте «Активность» рядом с событиями сканеров видны комментарии, оставленные при смене статуса. Историю находки можно проследить целиком, от обнаружения до закрытия, вместе с обоснованиями решений. Это удобно и для внутреннего разбора, и для подготовки к аудиту.

Учётные данные суперадминистратора

Суперадминистратор создаётся при установке с почтой и паролем, которые задаёт администратор. У каждой инсталляции собственные реквизиты доступа с первого запуска.

Интерфейс и стабильность

Работа с отчётами и пользователями стала удобнее. Список отчётов подгружается на лету, появился фильтр по типу учётной записи, обновлённый график критичности читается на экранах любого размера. Формирование PDF-отчётов и отображение вердикта AI стали стабильнее.

Интеграция CodeScoring

В платформу добавлен сканер состава ПО CodeScoring, его находки доступны в общих результатах сканирования. Для таких находок в карточке уязвимости появился отдельный блок с данными сканера: признак наличия эксплойта, тип зависимости (прямая или транзитивная), уязвимый компонент, рекомендованная версия исправления и точные оценки CVSS (v2, v3, v4).

Устойчивость сканирования

Сканирование стало надёжнее там, где раньше могло прерваться. При недоступности semgrep.dev используется офлайн-режим, golangci-lint работает для проектов без go.mod и вне корневого каталога, корректно обрабатываются архивы, созданные на macOS. При загрузке архива с исходным кодом каталоги больше не учитываются в подсчёте файлов, а лимит поднят до 100 000. Для внешнего сканера добавлена проверка токена и отображение его состояния в реальном времени.

Отчёты DAST

Улучшена обработка результатов динамического анализа: сканер ZAP передаёт корректный уровень критичности и сохраняет URL-пути найденных проблем, а его HTML-отчёты преобразуются в читаемый формат Markdown.

Стабильность и интерфейс

Устранён ряд ошибок в отчётах, сканерах и интерфейсе. Тексты интерфейса приведены к единому нейтральному деловому стилю. Служебное журналирование переведено на структурированный формат, что упрощает диагностику.

Интеграция с таск-трекером (Jira)

Найденные уязвимости теперь можно экспортировать в Jira прямо из интерфейса платформы. Для разных команд можно создать отдельные подключения и привязать их к нужным приложениям, чтобы задачи попадали сразу в рабочие доски.

AI-анализ уязвимостей

Теперь платформа поставляется со встроенной AI-моделью, которая разбирает каждую уязвимость, выставляет оценку и подсказывает путь устранения. Модель работает на обычном CPU и не требует выделенного GPU. При необходимости её можно легко заменить собственным AI-сервисом.

Соответствие ГОСТ Р 56939-2024

Новый модуль соответствия собирает в одном месте все 25 требований ГОСТ Р 56939-2024 и показывает текущий статус по каждому из них. К требованию можно добавить подтверждающие материалы в виде файла, ссылки или комментария. История изменений сохраняет кто, когда и по какой причине менял оценку.

Управление уязвимостями

Уязвимости теперь можно добавлять вручную через веб-интерфейс или импортировать из файлов SARIF внешних сканеров. Жизненный цикл уязвимости стал единообразным, а в карточке появилась лента активности с полной историей работы.

Новая роль «Главный инженер ИБ» получила права на критичные действия с уязвимостями — например, менять их статус без ограничений жизненного цикла, когда стандартных переходов недостаточно.

Поддержка Bitbucket

К существующим интеграциям с GitLab, GitHub и Gitea добавлена поддержка Bitbucket. Подключение настраивается в разделе «Инструменты» и позволяет запускать сканирование репозиториев Bitbucket наравне с другими VCS.

Обновлённый интерфейс

Интерфейс платформы прошёл базовый редизайн: основные разделы приведены к единому визуальному стилю, включая отчёты.

CI/CD и безопасность

Платформу стало проще встраивать в корпоративные процессы CI/CD, а учётные данные подключённых внешних систем теперь хранятся в зашифрованном виде.

Стабильность и надёжность

Повышена надёжность запуска платформы при установке и обновлении - исправлен ряд проблем, которые в отдельных конфигурациях приводили к некорректной инициализации сервисов. Исправлены ошибки в механизме проверки лицензии.

Совместимость с корпоративной инфраструктурой

Улучшена совместимость интеграций с VCS-хостингами в инфраструктурах с внутренними центрами сертификации (CA).

Интеграция с системами контроля версий

Добавлена поддержка подключений VCS-хостингов: GitLab и Gitea. Теперь можно сохранить адрес хостинга и токен доступа, проверить подключение, просматривать репозитории и ветки прямо из интерфейса и привязывать их к приложениям. Также поддерживается проверка доступа без сохранения подключения. Внедрена начальная поддержка GitHub Enterprise.

Настройка цепочки сканирования

Перед запуском сканирования теперь открывается окно тонкой настройки: можно выбрать типы анализа (SAST, SCA, Secret, Config, Linters, DAST) и конкретные движки внутри каждого. Доступен режим «Полное сканирование» — включает все типы и движки одним переключателем.

DAST: динамический анализ (OWASP ZAP)

Добавлена поддержка DAST-сканирования на базе OWASP ZAP CLI. Для запуска достаточно указать URL развёрнутого приложения — платформа проверит его доступность и выполнит анализ.

Новый дизайн PDF-отчётов

PDF-отчёты полностью переработаны: обновлён визуальный стиль, добавлена сводная статистика по типам сканирования (SAST, SCA, Linters, Secret), распределение уязвимостей по критичности и статусам, а также динамика за период. Отчёт стал информативнее и удобнее для передачи заказчикам и аудиторам.

Запущенную генерацию отчёта теперь можно остановить, не дожидаясь завершения, а статус генерации обновляется автоматически.

Ролевая модель и управление пользователями

Реализован полноценный менеджмент пользователей с новой ролевой моделью. Введены три типа учётных записей: Суперадминистратор — полный доступ ко всей платформе; Администратор — создание приложений, управление участниками и интеграциями в рамках своих проектов; Пользователь — доступ только к приложениям, в которых он состоит участником. Права внутри приложения определяются ролью: инженер по безопасности, разработчик или аудитор.

На странице «Пользователи» доступны создание, редактирование, блокировка и удаление аккаунтов, а также массовые операции — изменить тип или заблокировать сразу нескольких пользователей.

Улучшения интерфейса

Доработаны фильтры уязвимостей, в том числе добавлен множественный выбор. Бейджи и кнопки на странице приложений стали кликабельными — можно быстро перейти к уязвимостям с нужной критичностью. Улучшена навигация по репозиториям и веткам. Добавлены пользовательские страницы ошибок.

Генерация PDF-отчётов

Платформа теперь позволяет формировать PDF-отчёты по уязвимостям приложения с настраиваемыми фильтрами. Отчёт можно передать заказчику или использовать для внутреннего аудита.

Привязка к базе данных угроз ФСТЭК

В карточке уязвимости и списке уязвимостей появились ссылки на записи в базе данных угроз ФСТЭК БДУ. Это упрощает соотнесение результатов сканирования с требованиями российской нормативной базы.

Аналитика

Исправлен и доработан дашборд аналитики: устранены ошибки отображения, улучшена точность статистики по уязвимостям.

Улучшения интерфейса

Добавлен поиск по приложениям на ключевых экранах платформы. Улучшены описания ошибок — теперь интерфейс показывает понятные сообщения вместо технических кодов. Проведён ряд визуальных улучшений.

Инфраструктура

Подготовлена система дистрибуции и обновления платформы. Реализовано автоматическое удаление обработанных архивов с исходным кодом после завершения сканирования.