Интеграция «Шерлок» и CodeScoring: как автоматизировать управление ИБ-дефектами

Платформа управления ИБ-дефектами «Шерлок» от Axel PRO и система безопасной разработки CodeScoring (бренд «Профископ») завершили двустороннюю интеграцию: как сообщает Хабр, связка работает в обе стороны и позволяет запускать сканирования, создавать проекты и передавать результаты SCA и поиска секретов прямо из интерфейса агрегатора. Формально это «единое окно» для AppSec, но по сути — закрытие конкретной боли: больше не нужно держать открытыми четыре вкладки, копипастить JSON между SAST, SCA и трекером и параллельно вести Excel-сводку для руководства.

Что именно подключили

Работа без переключения контекста — ключевой пункт релиза. Специалист сидит в «Шерлоке», а запуск анализа в CodeScoring, запросы на новые проекты и управление сканированиями уходят в фоне. Результаты модулей SCA и поиска секретов автоматически стекаются обратно в ASOC-систему, где уже видна общая картина по дефектам. Исчезает знакомый антипаттерн: «отчёт отсканирован, лежит в папке, никто его не смотрел, тикет заведён отдельно, приоритет выставлен на глаз».

Для процессов РБПО связка тоже полезна: прозрачное управление недостатками и запросами на изменения при использовании инструмента композиционного анализа выстраивается в нормальный pipeline, а не в ежемесячную ручную сверку. В Axel PRO подчёркивают, что видят «Шерлок» не как «точку агрегации», а как помощника с контекстом, который автоматизирует рутину. У CodeScoring позиция прямая: «Вопрос доверия к результатам критически важен, ведь при малейшем сомнении пользователь начинает бегать (и работать) между интерфейсами выбранных инструментов, отчего комплексно страдает вся идея централизации проверок», — говорит Алексей Смирнов, основатель платформы. По его словам, ставка сделана на глубокие технологические связки, а не на маркетинговую галочку.

Где это работает, а где — нет

Если «Шерлок» уже стоит — функциональность доступна, ничего отдельно покупать не нужно. Если только выбираете стек — связка закрывает классический gap между ASOC и SCA, но серебряной пулей не становится: от настройки политик приоритезации, от триажа и от того, кто в команде отвечает за false positives, вас никто не освобождает. Это, в общем, общая история для любой регулируемой отрасли — ровно как в случае, когда новые правила работы частных клиник в системе ОМС с 2027 года требуют перестраивать процессы и софт: инструмент работает ровно настолько, насколько выстроен процесс вокруг него.

Что отслеживать дальше: рост глубины автоматизации ремедиации, нормальную метрику MTTR по дефектам и появление двусторонней работы с приоритетами — сейчас сканы идут в ASOC, но хотелось бы обратной связи, чтобы кодер видел приоритет без выхода из IDE. Пока же — добротный middleware, убирающий ручной клей между инструментами. Для продов, где «Шерлок» уже в стеке, апгрейд бесплатный. Для остальных — повод присмотреться.