SecRadar / Классы СЗИ / DAST · класс 04.05 / 03.15 (нет отдельного кода классификатора для DAST)
Класс 04.05 / 03.15 (нет отдельного кода классификатора для DAST) · Реестр российского ПО
Российские DAST: динамический анализ защищённости приложений из реестра
DAST (Dynamic Application Security Testing, динамический анализ защищённости приложений) — класс средств, которые ищут уязвимости в РАБОТАЮЩЕМ приложении методом «чёрного ящика»: инструмент имитирует HTTP(S)-запросы реального пользователя или атакующего к развёрнутому веб-приложению или API без доступа к исходному коду и находит ошибки конфигурации, аутентификации, инъекции и другие уязвимости рантайма — то, что статический анализ до запуска приложения не видит.
4решений в подборке
1с действующим сертификатом ФСТЭК
PT Application Inspec…выше всех: 76 баллов
48-76разброс оценок в классе
Проверено экспертной редакцией SecRadar · по первоисточникам ФСТЭК / ФСБ / Банка России
В отличие от SAST (Static Application Security Testing), который проверяет исходный или байт-код ДО сборки, DAST дополняет его на более позднем этапе конвейера безопасной разработки (РБПО).
Честно о рынке: отдельного кода класса в Реестре российского ПО для DAST нет — 4 из 5 найденных продуктов зарегистрированы под тем же официальным кодом 04.05 «Средства анализа исходного кода на закладки и уязвимости», что и SAST-инструменты (раздел «Средства разработки, тестирования и отладки», а не традиционная ИБ-таксономия 03.xx); пятый, PT BlackBox — под кодом 03.15 «Сетевой анализ и форензика».
Особенность рынка РФ в том, что почти никто не продаёт DAST как полностью самостоятельный продукт: 3 из 4 решения этой подборки (Solar appScreener, DerScanner, AppSec.Sting) — комплексные AppSec-платформы SAST+DAST+SCA/мобильный AST, которые ОДНОВРЕМЕННО фигурируют и в разборе SAST — это не ошибка дублирования, а честное отражение того, как вендоры реально пакетируют продукт.
Отдельного профиля защиты ФСТЭК для класса DAST тоже не существует: из проверенных решений действующий сертификат ФСТЭК (на платформу в целом, не выделяющий DAST-компонент отдельно) есть только у Solar appScreener. Ниже разобрано 6 наиболее заметных российских решений класса: вендор, номер реестра, статус сертификата ФСТЭК и какой зарубежный аналог заменяют.
Всё на проверяемых данных.
Редакция SecRadar · как мы проверяем факты → Обновлено 27 сентября 2026 ✓ данные из Реестра российского ПО и Госреестр СЗИ ФСТЭК
Российский аналог зарубежного DAST
Прямое сопоставление ушедших зарубежных решений с российскими из реестра. Маппинг — оценка редакции по классу задач и присутствию на рынке, не формальная сертификация «один-в-один».
заменяем Burp Suite
↓
PT BlackBox (Positive Technologies) — ближе всего по архитектуре: самостоятельный on-prem DAST-сканер «чёрного ящика» для веб-приложений (первый такой в РФ, публичный релиз 2022 г.), REST API с токен-аутентификацией для CI/CD; честная оговорка — действующего сертификата ФСТЭК на сам продукт не найдено
заменяем Acunetix
↓
SolidPoint DAST (СолидЛаб/СолидСофт) — специализированный «чистый» DAST-вендор для веб-приложений и API, статико-динамический анализ JavaScript, облачный или on-premise формат поставки; в реестре с 14.12.2023
заменяем Invicti (Netsparker)
↓
Solar appScreener (ГК «Солар») — из подборки ближе всего к комплексной enterprise-модели Invicti за счёт модульной архитектуры (SAST+DAST+SCA+SCS как отдельные регистрируемые модули одной платформы) и единственный с действующим сертификатом ФСТЭК (№4825, до 2029-07-03), покрывающим DAST-функциональность в составе платформы
заменяем OWASP ZAP
↓
прямого бесплатного/open-source аналога ZAP в найденном срезе нет — все российские DAST-решения коммерческие; ближе всего по нишевой специализации AppSec.Sting (Стингрей Технолоджиз, ранее «Стингрей») — честная оговорка: это платформа для МОБИЛЬНЫХ приложений (iOS/Android) на базе IAST, а не общий веб-DAST, как ZAP
Сравнение российских решений
4 решения · класс 04.05 · ещё 2 продукта без оценки / 03.15 (нет отдельного кода классификатора для DAST)Какие решения класса «DAST» лучшие и кто в топе рынка — ниже рейтинг 4 решений (ещё 2 продукта — без оценки: документацию вендора прочитать не удалось) по прозрачному скору SecRadar, без пользовательских отзывов. Скор — покрытие функций, статус сертификата ФСТЭК и присутствие на рынке (оценка редакции). Реестр РПО и сертификаты ФСТЭК проверяйте по официальным реестрам — ссылки в ячейках и футере.
↔ таблицу можно прокрутить вбок
| Продукт | Вендор | Оценка | Ранг | Реестр РПО | Статус ФСТЭК | Заменяет |
|---|---|---|---|---|---|---|
| PT Application Inspector | Positive Technologies | 76 | выручка — вся Группа Позитив (оценка редакции) | реестр РПО | ФСТЭК №4000 до 2028-09-031 | Комбинированная AppSec-платформа: замена связки Fortify/Checkmarx + Burp Suite там, где нужен единый разбор дефектов по SAST, DAST и SCA |
| PT BlackBox | Positive Technologies | 72 | Первый российский DAST-сканер в модели on-premise (публичный релиз 2022); выручка — вся Группа Позитив (оценка редакции) | реестр РПО | нет серта2 | |
| DerScanner | DerSecur (ООО «Дер Груп») | 49 | Комплексная SAST+DAST+SCA платформа (ML-элементы); в Реестре российского ПО — новая запись (26.11.2025) | реестр РПО | нет серта3 | |
| AppSec.Sting | Стингрей Технолоджиз | 48 | Нишевая платформа мобильного AppSec (iOS/Android) на базе IAST; сентябрь 2025 — ребрендинг из «Стингрей» | реестр РПО | нет серта4 |
Видите ошибку в строке своего продукта?
Напишите на info@secradar.ru — проверим и исправим, указав дату правки. Так уже поправлены оценки нескольких вендоров.
Оценку меняем только по проверяемому источнику: ссылка на документацию, руководство администратора или отраслевое сравнение. «У нас это есть» без источника не подойдёт — по такому утверждению читатель не сможет проверить нас так же, как проверяет вендора. Место в рейтинге не продаётся, размещение значка на оценку не влияет: как мы проверяем факты.
Без оценки: балл не считается
2 продуктаС 21.09.2026 балл в классе считается только по строкам, оценка которых стоит на документации вендора. Продукты ниже остаются в каталоге, но без балла: сопоставимого источника по ним нет. Как только документация появляется или её присылает вендор, строка возвращается в расчёт.
Это ваш продукт? Его можно вернуть в расчётПришлите руководство администратора или доступ к порталу документации — обычно возвращаем строку в тот же день. Подойдёт и непубличный документ: мы его не выкладываем, в источнике пишем «руководство версии N, предоставлено вендором». Место в рейтинге не продаётся, и сама пометка о присланных документах на оценку не влияет — влияет только то, что в документе написано. Написать на info@secradar.ru
- Solar appScreener — Ростелеком-Солар: открытой документации по динамическому анализу нет: «Солар» публикует руководства только по модулю анализа открытого кода (OSA) — пользователя на 65 страниц и администратора на 47, — а движок статического и динамического анализа в них не описан это наш продукт →
- SolidPoint DAST — СолидЛаб (SolidLab / СолидСофт): открытой документации нет: на сайте «СолидЛаб» только страница продукта примерно на 700 слов, портал support.solidlab.ru отдаёт пустую страницу это наш продукт →
Почему это важно не только для рейтинга: документация, закрытая от машин, невидима и для ИИ-ассистентов, у которых покупатели всё чаще спрашивают про класс. Как это выглядит со стороны ассистента — в исследовании «ИИ — третий читатель вашего сайта».
Функциональность: что подтверждено документацией
Критерии в этом классе ВЗВЕШЕНЫ: критичный весит 3, важный 2, дополнительный 1, и у каждого написано, почему ему дан такой вес. Так поддержка условия внедрения не приравнивается к редкой дополнительной функции. Вес назначает редакция — это наше решение, а не заявление вендора. Ось «возможности» в рейтинге этого класса считается ПРЯМО ИЗ ЭТОЙ ТАБЛИЦЫ: доля подтверждённых признаков и есть балл, редакционной оценки здесь нет. Оценка ставится только при наличии источника: ✓ — функция описана в документации вендора, ½ — описана частично или с оговоркой, «—» — искали и не нашли, «·» — не проверяли. «Не проверяли» означает, что мы не нашли публичного описания, а не что функции нет: глубина доступных источников у вендоров разная, и это само по себе результат измерения.
Откуда данные. Обзор рынка Anti-Malware от 14.05.2026 — самый свежий источник во всей нашей программе матриц. Но сводной таблицы в нём нет, только описательные разделы, поэтому действует обычная оговорка обзоров рынка: отсутствие функции означает лишь то, что редакция о ней не написала.
Нажмите на подчёркнутую оценку в матрице, чтобы открыть её обоснование. «Уточнить эту оценку» подготовит письмо редакции — отправить его нужно в почтовой программе.
| Решение | Динамический анализ работающего приложения | Анализ API | Сложные сценарии аутентификации | Анализ клиентского JavaScript | Названы классы находимых уязвимостей | Встраивание в конвейер сборки | Корреляция с другими методами анализа | Мобильные приложения | Интеграции | Запись в реестре российского ПО | Подтверждено |
|---|---|---|---|---|---|---|---|---|---|---|---|
| PT Application Inspector документация | ½ | ½ | — | — | ✓ | ✓ | ✓ | ½ | ½ | ✓ | 6 из 10 |
| PT BlackBox документация | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | — | — | ½ | ✓ | 7.5 из 10 |
| DerScanner документация | ✓ | ½ | ½ | ½ | ✓ | ✓ | ✓ | ½ | ½ | ✓ | 7.5 из 10 |
| AppSec.Sting документация | ✓ | ½ | ½ | — | ✓ | ✓ | ✓ | ✓ | ½ | ✓ | 7.5 из 10 |
| Solar appScreener отраслевой обзор | ✓ | — | — | — | — | — | ✓ | — | ✓ | ✓ | 4 из 10 |
| SolidPoint DAST отраслевой обзор | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | — | — | ✓ | ✓ | 8 из 10 |
Что показала таблица. Разрыв в детальности описания между продуктами огромен, и он совпадает с разделением на специализированные и комбинированные инструменты. SolidPoint DAST — единственный, кто перечисляет конкретные классы находимых уязвимостей (от SQLi и XSS до Prototype Pollution и Insecure Deserialization) и подробно описывает вход в закрытую часть приложения: cookie, заголовки, HTTP Basic, TLS-сертификат, обновление сессии через записанный браузерный сценарий. У остальных трёх классы уязвимостей не названы вообще. При этом ровно наоборот работает корреляция методов: связывать DAST с SAST умеют Solar appScreener и AppSec.Sting, а специализированные сканеры — нет. То есть выбор в классе сегодня — между глубиной одного метода и связкой нескольких, и совмещать пока никто не научился.
✓ подтверждено½ частично— не найдено— вендор заявляет осознанный отказ· не проверяли
На чём стоит строка:документацияподтв. вендоромреестротраслевой обзорстраница продуктане оценивалось
Балл считается одинаково независимо от источника — но источники разной силы, и мы показываем какой. Руководство администратора проверяемо по разделу, отраслевой обзор пересказывает вендора, рекламная страница не обязана быть полной. «Не оценивалось» означает, что признаки у строки не проставлены ни по одному источнику: продукт в каталоге есть, а разбора ещё нет. Это наш пробел, и он виден намеренно.
- Динамический анализ работающего приложениякритичный — Проверка запущенного приложения снаружи, по принципу чёрного ящика
Почему такой вес: анализ работающего приложения — определение метода - Анализ APIважный — Отдельно заявлено сканирование программных интерфейсов, а не только веб-страниц
Почему такой вес: анализ API стал обязательным для современных приложений, но классический веб-скан возможен и без него - Сложные сценарии аутентификациикритичный — Названы способы входа в защищённую часть приложения — токены, заголовки, сессии, сценарии браузера
Почему такой вес: без прохождения сложной аутентификации сканер видит только публичную витрину, то есть проверяет не то приложение - Анализ клиентского JavaScriptважный — Разбор кода на стороне браузера для поиска скрытых точек входа
Почему такой вес: разбор клиентского JavaScript нужен одностраничным приложениям, которых всё больше - Названы классы находимых уязвимостейважный — Перечислены конкретные типы уязвимостей, а не общие слова «уязвимости и ошибки»
Почему такой вес: названный перечень находимых классов уязвимостей делает результат проверяемым - Встраивание в конвейер сборкиважный — Запуск сканирования из CI/CD с описанным способом подключения
Почему такой вес: встраивание в конвейер переводит сканирование в регулярный процесс - Корреляция с другими методами анализадополнительный — Связывание результатов DAST с SAST, SCA или IAST внутри одного продукта
Почему такой вес: корреляция с другими методами — свойство платформы, а не самого динамического анализа - Мобильные приложениядополнительный — Анализ приложений под Android и iOS с названными форматами
Почему такой вес: мобильные приложения — смежный сценарий, поддержан у меньшинства - Интеграцииважный — Связка с трекерами задач, WAF, платформами ASOC или открытый API
Почему такой вес: интеграции с трекером определяют, дойдут ли находки до разработчика - Запись в реестре российского ПОдополнительный — Назван номер реестровой записи
Почему такой вес: запись в реестре — условие закупки, а не свойство продукта
Проверьте нас. Под каждой оценкой ✓ и ½ ниже указан источник — конкретная страница документации вендора или отраслевого сравнения, по которой мы её поставили. Оценка без источника в таблицу не попадает: это проверяется автоматически при сборке сайта. Место в рейтинге не продаётся, и размещение значка вендором на оценку не влияет.
Источники под каждой оценкой (47)
| Решение | Признак | Чем подтверждено |
|---|---|---|
| PT Application Inspector | Динамический анализ работающего приложения | частично: продукт объединяет «достоинства статического и динамического анализа», есть сканирование запущенного веб-приложения и генерация эксплойта для проверки уязвимости на развёрнутом приложении, но отдельного режима полноценного DAST-сканирования справка не описывает[1]Уточнить эту оценку ↗ |
| PT Application Inspector | Анализ API | частично: REST API и Swagger UI описаны как интерфейс управления самим продуктом; отдельного сканирования программных интерфейсов приложения-цели справка не заявляет[1]Уточнить эту оценку ↗ |
| PT Application Inspector | Названы классы находимых уязвимостей | отдельные модули проверки — «Поиск по шаблонам», «Поиск уязвимостей конфигурации», «Поиск вредоносного кода», «Поиск секретов в коде»; ядро Config содержит правила для AndroidManifest.xml, Info.plist, nginx.conf, web.config, server.xml и других форматов[1]Уточнить эту оценку ↗ |
| PT Application Inspector | Встраивание в конвейер сборки | «может быть встроен в процесс непрерывной интеграции на агентах сборки TeamCity, Jenkins и других»; подтверждение уязвимостей через API токенами CI/CD[1]Уточнить эту оценку ↗ |
| PT Application Inspector | Корреляция с другими методами анализа | в одном продукте объединены статический анализ, динамический анализ и анализ состава ПО — результаты разных методов сводятся в одну систему[1]Уточнить эту оценку ↗ |
| PT Application Inspector | Мобильные приложения | частично: ядро Config разбирает AndroidManifest.xml и Info.plist — то есть конфигурации мобильных приложений Android и iOS; полноценного анализа мобильных приложений справка не заявляет[1]Уточнить эту оценку ↗ |
| PT Application Inspector | Интеграции | частично: интеграция с Jira и со средами разработки, REST API со Swagger UI, сервис нотификаций; связок с WAF и платформами ASOC справка не называет[1]Уточнить эту оценку ↗ |
| PT Application Inspector | Запись в реестре российского ПО | запись в реестре российского ПО № 11894 от 21.10.2021, правообладатель ООО «Прорывные Технологии»[2]Уточнить эту оценку ↗ |
| PT BlackBox | Динамический анализ работающего приложения | «PT BlackBox сканирует приложения, используя метод чёрного ящика. В основе этого метода — имитация поведения злоумышленника»; работа идёт с запущенным приложением по указанной области сканирования[3]Уточнить эту оценку ↗ |
| PT BlackBox | Анализ API | в правах ролей есть «создание схемы API и её применение для цели» — сканирование программных интерфейсов настраивается отдельно от профиля сканирования веб-страниц[3]Уточнить эту оценку ↗ |
| PT BlackBox | Сложные сценарии аутентификации | «Сканирование целей, для доступа к которым необходима авторизация»; отдельная сущность «профиль авторизации» создаётся и применяется к цели[3]Уточнить эту оценку ↗ |
| PT BlackBox | Анализ клиентского JavaScript | проверка «Подмена JavaScript-прототипа. Проверяет возможность изменения прототипов JavaScript-объектов на клиентской стороне» — разбор кода в браузере[3]Уточнить эту оценку ↗ |
| PT BlackBox | Названы классы находимых уязвимостей | перечислены конкретные проверки с описаниями: внедрение внешних сущностей XML (XXE), небезопасная десериализация, подмена JavaScript-прототипа и другие, с указанием режимов «оптимальное» и «полное сканирование»; в REST API есть раздел «Схемы типов уязвимостей»[3]Уточнить эту оценку ↗ |
| PT BlackBox | Встраивание в конвейер сборки | «Возможность встроить PT BlackBox в процесс непрерывной интеграции и развёртывания (CI/CD) с авторизацией по токену. Используя специальные скрипты, пользователь сканера может встроить проверку своего приложения в процесс его сборки»[3]Уточнить эту оценку ↗ |
| PT BlackBox | Интеграции | частично: есть REST API с описанными схемами и выгрузка отчётов; связок с трекерами задач, WAF или платформами ASOC справка не называет. Для метода OAST «требуется самостоятельно установить и настроить сервер (например, Interactsh)»[3]Уточнить эту оценку ↗ |
| PT BlackBox | Запись в реестре российского ПО | внесён в Единый реестр отечественного ПО, реестровая запись № 15711 от 05.12.2022[2]Уточнить эту оценку ↗ |
| DerScanner | Динамический анализ работающего приложения | «In DerScanner, web applications can be scanned dynamically»; «The dynamic analysis module serves as a web application scanner… Testing is done by the „black box“ method and doesn't require source code»[4]Уточнить эту оценку ↗ |
| DerScanner | Анализ API | частично: отдельного сканирования программных интерфейсов приложения-цели документация не заявляет; есть собственный API продукта[4]Уточнить эту оценку ↗ |
| DerScanner | Сложные сценарии аутентификации | частично: в разделе динамического анализа есть подраздел Authorization, но способы входа в защищённую часть приложения подробно не описаны[4]Уточнить эту оценку ↗ |
| DerScanner | Анализ клиентского JavaScript | частично: разбор клиентского JavaScript отдельно не описан; модуль работает методом чёрного ящика через подачу некорректных и случайных данных[4]Уточнить эту оценку ↗ |
| DerScanner | Названы классы находимых уязвимостей | классификация находок по OWASP Top 10 (2013, 2017, 2021), OWASP Mobile Top 10, OWASP ASVS и MASVS, PCI DSS 4.0, HIPAA, CWE/SANS Top 25 (2011, 2021, 2023)[4]Уточнить эту оценку ↗ |
| DerScanner | Встраивание в конвейер сборки | «DerScanner seamlessly integrates into CI/CD pipelines. Security checks are incorporated into automated workflows as Quality Gates»[4]Уточнить эту оценку ↗ |
| DerScanner | Корреляция с другими методами анализа | «Findings of dynamic analysis projects can be correlated to those of static analysis to provide more comprehensive results and facilitate prioritization» — прямая корреляция DAST с SAST[4]Уточнить эту оценку ↗ |
| DerScanner | Мобильные приложения | частично: есть классификация по OWASP Mobile Top 10 и MASVS, но отдельного анализа приложений под Android и iOS документация не описывает[4]Уточнить эту оценку ↗ |
| DerScanner | Интеграции | частично: интеграция в конвейеры сборки как Quality Gates и собственный API; связок с трекерами задач и WAF документация не называет[4]Уточнить эту оценку ↗ |
| DerScanner | Запись в реестре российского ПО | reestr.digital.gov.ru — DerScanner в Едином реестре российского ПО, запись № 30789 (официальный экспорт реестра, срез 15.09.2026)Уточнить эту оценку ↗ |
| AppSec.Sting | Динамический анализ работающего приложения | проверка запущенного приложения: модули «Активные проверки», «Мониторинг криптографии», «Обход проверок окружения», сканирование в эмуляторе и на реальных устройствах с jailbreak-фреймворком для iOS[5]Уточнить эту оценку ↗ |
| AppSec.Sting | Анализ API | частично: есть модуль «Поиск и анализ URL» с анализом сетевого взаимодействия приложения, но сканирования программных интерфейсов по спецификации документация не заявляет[5]Уточнить эту оценку ↗ |
| AppSec.Sting | Сложные сценарии аутентификации | частично: сканирование запускается по профилям, но способы входа в защищённую часть приложения документация отдельно не описывает[5]Уточнить эту оценку ↗ |
| AppSec.Sting | Названы классы находимых уязвимостей | перечислены конкретные проверки: «Отсутствует или некорректно реализован SSL-pinning», «Небезопасные настройки в AndroidManifest.xml» с разбором флагов, «Хранение значений Cookies в стандартной базе WebView», сетевое взаимодействие по HTTP; поддержан OWASP Mobile Top 10 (2024) и маппинг на CWE[5]Уточнить эту оценку ↗ |
| AppSec.Sting | Встраивание в конвейер сборки | внедрение через командную строку — «исправлена генерация команды запуска CLI на странице интеграций», отдельная страница интеграций[5]Уточнить эту оценку ↗ |
| AppSec.Sting | Корреляция с другими методами анализа | результаты модулей связываются между собой: «результаты проверки, полученные от одного способа, дополняют итоги анализа других методов»; в платформе одновременно работают SAST, IAST и SCA-модули[5]Уточнить эту оценку ↗ |
| AppSec.Sting | Мобильные приложения | профильный класс продукта: анализ приложений Android и iOS, загрузка apk, aab и ipa, официальная поддержка iOS в качестве сканирующего агента[5]Уточнить эту оценку ↗ |
| AppSec.Sting | Интеграции | частично: есть CLI и страница интеграций, загрузка SBOM; связок с трекерами задач и WAF документация не называет[5]Уточнить эту оценку ↗ |
| AppSec.Sting | Запись в реестре российского ПО | внесена в Единый реестр отечественного ПО, реестровая запись № 7699 от 14.12.2020[2]Уточнить эту оценку ↗ |
| Solar appScreener | Динамический анализ работающего приложения | «система отправляет веб-приложению заведомо некорректные запросы и анализирует получаемую реакцию, выявляя ошибки и уязвимости в работающем коде»[2]Уточнить эту оценку ↗ |
| Solar appScreener | Корреляция с другими методами анализа | «возможность привязывать проекты динамического анализа к проектам статического. Корреляция результатов, полученных разными методами, позволяет сформировать более точную и достоверную картину»; единая платформа с модулями SAST, DAST и OSA[2]Уточнить эту оценку ↗ |
| Solar appScreener | Интеграции | «интеграция с системами отслеживания ошибок Atlassian Jira и «ТУРБО Трекинг», VCS-хостингами GitLab, GitHub и Bitbucket, репозиториями Git и Subversion. Встроенный открытый API»[2]Уточнить эту оценку ↗ |
| Solar appScreener | Запись в реестре российского ПО | реестровые записи № 6119 от 13.01.2020 и № 19649 от 01.11.2023[2]Уточнить эту оценку ↗ |
| SolidPoint DAST | Динамический анализ работающего приложения | «интеллектуальная платформа для динамического анализа защищённости веб-приложений и API»; наряду с краулингом реализован перебор каталогов (dirbusting)[2]Уточнить эту оценку ↗ |
| SolidPoint DAST | Анализ API | анализ API заявлен в назначении продукта; поддерживается «импорт информации об уже известных конечных точках… из OpenAPI-спецификации, из HAR-файлов» и из трафика SolidWall WAF[2]Уточнить эту оценку ↗ |
| SolidPoint DAST | Сложные сценарии аутентификации | «поддержка широкого набора методов аутентификации: cookie, заголовок запроса, HTTP Basic Auth, локальное и сессионное хранилище, клиентский TLS-сертификат»; расширенно — «проверка состояния авторизованной сессии и обновление аутентификационных данных через HTTP-запрос либо заранее записанный браузерный сценарий» — самое подробное описание входа в закрытую часть приложения среди проверенных[2]Уточнить эту оценку ↗ |
| SolidPoint DAST | Анализ клиентского JavaScript | «статико-динамический анализ JavaScript-кода… позволяет обнаруживать до 40% дополнительных конечных точек по сравнению с традиционными инструментами»[2]Уточнить эту оценку ↗ |
| SolidPoint DAST | Названы классы находимых уязвимостей | «Insecure Deserialization, XSS (Reflected, DOM Based, Stored), XXE, NoSQLi, SQLi, SSTI, Path Injection, Shell Injection, File Upload, Prototype Pollution и др.»; три типа проверок — фаззинг, переборные, сигнатурный анализ; отдельно поиск методом out-of-band[2]Уточнить эту оценку ↗ |
| SolidPoint DAST | Встраивание в конвейер сборки | «CLI и REST API с возможностью встраивания в CI/CD»[2]Уточнить эту оценку ↗ |
| SolidPoint DAST | Интеграции | «интеграция с SolidWall WAF, DefectDojo и другими системами»; поддержка аутентификации через LDAP/AD, экспорт отчётов в JSON и PDF[2]Уточнить эту оценку ↗ |
| SolidPoint DAST | Запись в реестре российского ПО | внесён в Единый реестр отечественного ПО[2]Уточнить эту оценку ↗ |
Источники, на которые ссылаются номера в таблице
- [1] документация вендора, справочный портал help.ptsecurity.com — «PT AI Enterprise Edition 6.2.0. Справка» (обход 21.09.2026, 120 страниц)
- [2] обзор рынка Anti-Malware «Российские DAST-решения: обзор инструментов динамического анализа приложений» от 14.05.2026, anti-malware.ru/analytics/Market_Analysis/DAST-Market-Overview
- [3] документация вендора, справочный портал help.ptsecurity.com — «PT BlackBox 3.3. Справка» (обход 21.09.2026, 120 страниц)
- [4] документация вендора docs.derscanner.com — «DerScanner User Guide», версия 12.0 (обход 21.09.2026, 183 страницы)
- [5] документация вендора, справочный портал help.stingray-mobile.ru/2025.11 (обход 21.09.2026, 200 страниц)
Где мы искали и не нашли (13)
Знак «—» в таблице означает, что функцию искали и не нашли. Ниже сказано, где именно искали: в каком документе, какой версии и по каким словам. Если функция есть, а мы её пропустили — напишите, поправим по первоисточнику.
| Решение | Признак | Где искали |
|---|---|---|
| PT Application Inspector | Сложные сценарии аутентификации | способы входа в защищённую часть приложения (профили авторизации, сценарии аутентификации) в справке не описаны; искали — не нашли — документация вендора, справочный портал help.ptsecurity.com — «PT AI Enterprise Edition 6.2.0. Справка» (обход 21.09.2026, 120 страниц)Уточнить эту оценку ↗ |
| PT Application Inspector | Анализ клиентского JavaScript | разбора клиентского JavaScript в браузере справка не описывает; JavaScript/TypeScript упоминается как язык статического анализа с выбором ядра — документация вендора, справочный портал help.ptsecurity.com — «PT AI Enterprise Edition 6.2.0. Справка» (обход 21.09.2026, 120 страниц)Уточнить эту оценку ↗ |
| PT BlackBox | Корреляция с другими методами анализа | связывания результатов с SAST, SCA или другими методами анализа справка не описывает; искали — не нашли — документация вендора, справочный портал help.ptsecurity.com — «PT BlackBox 3.3. Справка» (обход 21.09.2026, 120 страниц)Уточнить эту оценку ↗ |
| PT BlackBox | Мобильные приложения | анализа мобильных приложений под Android и iOS нет; отдельно оговорено, что «мобильная версия веб-интерфейса временно недоступна» — это про интерфейс, а не про объект сканирования — документация вендора, справочный портал help.ptsecurity.com — «PT BlackBox 3.3. Справка» (обход 21.09.2026, 120 страниц)Уточнить эту оценку ↗ |
| AppSec.Sting | Анализ клиентского JavaScript | разбор клиентского JavaScript не применим: объект анализа — мобильное приложение, а не веб-страница; искали — не нашли — документация вендора, справочный портал help.stingray-mobile.ru/2025.11 (обход 21.09.2026, 200 страниц)Уточнить эту оценку ↗ |
| Solar appScreener | Анализ API | сканирование API не заявлено; искали — не нашли; обзор рынка Anti-Malware «Российские DAST-решения: обзор инструментов динамического анализа приложений» от 14.05.2026, anti-malware.ru/analytics/Market_Analysis/DAST-Market-OverviewУточнить эту оценку ↗ |
| Solar appScreener | Сложные сценарии аутентификации | способы аутентификации не описаны; наоборот, для запуска рекомендуется «временно отключить средства защиты информации, чтобы они не искажали результаты проверки»; обзор рынка Anti-Malware «Российские DAST-решения: обзор инструментов динамического анализа приложений» от 14.05.2026, anti-malware.ru/analytics/Market_Analysis/DAST-Market-OverviewУточнить эту оценку ↗ |
| Solar appScreener | Анализ клиентского JavaScript | анализ клиентского JavaScript не описан; искали — не нашли; обзор рынка Anti-Malware «Российские DAST-решения: обзор инструментов динамического анализа приложений» от 14.05.2026, anti-malware.ru/analytics/Market_Analysis/DAST-Market-OverviewУточнить эту оценку ↗ |
| Solar appScreener | Названы классы находимых уязвимостей | конкретные классы уязвимостей не названы; искали — не нашли; обзор рынка Anti-Malware «Российские DAST-решения: обзор инструментов динамического анализа приложений» от 14.05.2026, anti-malware.ru/analytics/Market_Analysis/DAST-Market-OverviewУточнить эту оценку ↗ |
| Solar appScreener | Встраивание в конвейер сборки | встраивание в CI/CD в разделе о DAST не описано — названы интеграции с VCS-хостингами, а это не то же самое; искали — не нашли; обзор рынка Anti-Malware «Российские DAST-решения: обзор инструментов динамического анализа приложений» от 14.05.2026, anti-malware.ru/analytics/Market_Analysis/DAST-Market-OverviewУточнить эту оценку ↗ |
| Solar appScreener | Мобильные приложения | анализ мобильных приложений в разделе не заявлен; искали — не нашли; обзор рынка Anti-Malware «Российские DAST-решения: обзор инструментов динамического анализа приложений» от 14.05.2026, anti-malware.ru/analytics/Market_Analysis/DAST-Market-OverviewУточнить эту оценку ↗ |
| SolidPoint DAST | Корреляция с другими методами анализа | связывание результатов с SAST или SCA внутри продукта не описано; искали — не нашли; обзор рынка Anti-Malware «Российские DAST-решения: обзор инструментов динамического анализа приложений» от 14.05.2026, anti-malware.ru/analytics/Market_Analysis/DAST-Market-OverviewУточнить эту оценку ↗ |
| SolidPoint DAST | Мобильные приложения | анализ мобильных приложений не заявлен; искали — не нашли; обзор рынка Anti-Malware «Российские DAST-решения: обзор инструментов динамического анализа приложений» от 14.05.2026, anti-malware.ru/analytics/Market_Analysis/DAST-Market-OverviewУточнить эту оценку ↗ |
Примечания к строкам (6)
- PT Application Inspector — Переоценено 21.09.2026 по документации вендора. Оговорка: PT AI Enterprise Edition — прежде всего инструмент статического анализа (его основная оценка живёт в классе sast), динамическая проверка у него вспомогательная — генерация эксплойта и сканирование запущенного приложения.
- PT BlackBox — Переоценено 21.09.2026 по документации вендора. Прежняя оценка стояла на обзоре рынка.
- DerScanner — Переоценено 21.09.2026 по документации вендора (User Guide 12.0). Оговорка: у DerScanner динамический анализ — один из трёх модулей платформы, основной профиль продукта статический (его оценка в классе sast).
- AppSec.Sting — Переоценено 21.09.2026 по документации вендора. «Стингрей» — динамический анализ ТОЛЬКО мобильных приложений; для веб-приложений он неприменим, и это отражено в оценках.
- Solar appScreener — Без оценки с 21.09.2026: открытой документации по динамическому анализу нет: «Солар» публикует руководства только по модулю анализа открытого кода (OSA) — пользователя на 65 страниц и администратора на 47, — а движок статического и динамического анализа в них не описан.
- SolidPoint DAST — Без оценки с 21.09.2026: открытой документации нет: на сайте «СолидЛаб» только страница продукта примерно на 700 слов, портал support.solidlab.ru отдаёт пустую страницу.
Как считаются эти таблицы и сколько функциональности российских СЗИ вообще описано публично — в исследовании «57% функциональности не описано публично».
Пометки к статусам ФСТЭК
- PT Application Inspector — Сертификат ФСТЭК России № 4000 на «Анализатор защищённости исходного кода приложений Positive Technologies Application Inspector», заявитель АО «Позитив Текнолоджиз», действует до 03.09.2028 — по срезу Госреестра ФСТЭК от 25.08.2026. Более ранний № 4000/1 (заявитель ООО «Прорывные технологии») истёк 03.09.2023. ИТОГ: на дату проверки действует сертификат ФСТЭК №4000 до 3 сентября 2028.
- PT BlackBox — Честная пометка: действующего сертификата ФСТЭК именно на PT BlackBox в source-raw/fstec_reg3.csv (срез 2026-07-03) не найдено — отдельного профиля защиты для класса DAST в требованиях ФСТЭК не существует. У Positive Technologies есть сертифицированный смежный продукт — «Анализатор защищённости исходного кода Positive Technologies Application Inspector» (SAST/DAST/SCA-платформа, №4000, действ. до 2028-09-03), но это другой продукт, не BlackBox. certsV=9 — суммарное число действующих сертификатов АО «Позитив Текнолоджиз» + ООО «Прорывные технологии» по всем продуктам (fstec_reg3.csv)
- DerScanner — Действующего сертификата ФСТЭК на DerScanner в source-raw/fstec_reg3.csv (срез 2026-07-03) не найдено. В Реестре российского ПО запись №30789 внесена 26.11.2025 по типу «Поручение» (нестандартный ускоренный порядок, не через обычную экспертную комиссию) — источник: выгрузка Реестра российского ПО (официальный XML-дамп Минцифры, 2026-07-06/07). Правообладатель — ООО «Дер Груп» (ОГРН 1252300011853, зарегистрировано в 2025 г.), тогда как сама компания-разработчик DerSecur и продукт DerScanner известны на рынке с 2011 г. — типичная для РФ-реестра схема оформления прав через новое локальное юрлицо; требует ручной проверки структуры собственности перед закупкой для КИИ/госсектора
- AppSec.Sting — Действующего сертификата ФСТЭК на AppSec.Sting/«Стингрей» в source-raw/fstec_reg3.csv (срез 2026-07-03) не найдено — как и для остальных нишевых DAST-инструментов, отдельного профиля защиты для класса не существует
факт проверяемый факт с источником реестр запись в госреестре, ссылка на карточку/поиск оценка редакционная оценка SecRadar
Номера сертификатов ФСТЭК меняются при перерегистрации — проверяйте актуальный статус в источнике: Госреестр СЗИ ФСТЭК. Пользовательские отзывы в скоре не используются.
Частые вопросы
Что такое DAST?
DAST (Dynamic Application Security Testing) — класс средств для поиска уязвимостей в уже РАЗВЁРНУТОМ и запущенном приложении методом «чёрного ящика»: инструмент отправляет HTTP(S)-запросы к веб-приложению или API так же, как это делал бы реальный пользователь или атакующий, без доступа к исходному коду, и анализирует ответы на предмет уязвимостей — инъекций, ошибок аутентификации и авторизации, небезопасной конфигурации сервера, утечек данных в ответах. В связке безопасной разработки (РБПО) DAST обычно применяется на более поздних этапах конвейера (staging/pre-prod), чем SAST.
Чем DAST отличается от SAST?
SAST анализирует исходный, байт- или бинарный код ДО запуска приложения — видит уязвимости на уровне кода (например, SQL-инъекцию в конкретной строке), но не видит ошибок конфигурации окружения или рантайм-логики. DAST, наоборот, проверяет приложение В ДЕЙСТВИИ методом «чёрного ящика» — не требует доступа к исходному коду и языку программирования, зато не укажет точную строку кода с уязвимостью, только внешне наблюдаемый эффект. Методики взаимно дополняют друг друга, а не заменяют: ГОСТ Р 56939-2024 описывает безопасную разработку как процесс, где статический и динамический анализ — разные обязательные практики жизненного цикла. На практике большинство крупных российских вендоров (Solar appScreener, DerScanner) продают SAST и DAST не раздельно, а как модули одной AppSec-платформы.
Узкий ли рынок DAST в России?
Да, и это стоит сказать прямо: отдельного зарегистрированного «чисто DAST» продукта в РФ по сути два — PT BlackBox (Positive Technologies) и SolidPoint DAST (СолидЛаб). Остальные найденные решения — комплексные AppSec-платформы (Solar appScreener, DerScanner: SAST+DAST+SCA) или нишевые мобильные инструменты (AppSec.Sting), где DAST — один из режимов анализа, а не отдельный продукт. Отдельного кода класса в Реестре российского ПО для DAST нет — большинство продуктов зарегистрированы под тем же кодом 04.05, что и SAST-инструменты. Спрос растёт (по оценке аналитиков «Спикател», в 2025 г. спрос на DAST-решения в РФ рос быстрее спроса на статический анализ), но по числу самостоятельных вендоров сегмент заметно уже, чем SAST или SIEM.
Нужен ли сертификат ФСТЭК для DAST-инструмента?
Отдельного профиля защиты ФСТЭК для класса DAST не существует — как и для API Security, ФСТЭК не сертифицирует DAST-функциональность как самостоятельную категорию средств защиты информации. Из 5 проверенных в этой подборке продуктов действующий сертификат ФСТЭК есть только у Solar appScreener (№4825, до 2029-07-03) — и он выдан на комплексную AppSec-платформу в целом (по требованиям доверия ОУД4 + ТУ), а не выделяет DAST-компонент отдельно. У PT BlackBox, SolidPoint DAST, DerScanner и AppSec.Sting действующих сертификатов ФСТЭК на дату проверки не найдено. Для закупки под КИИ/госсектор, где сертификат обычно требуется, это стоит учитывать заранее и проверять актуальный статус в Госреестре СЗИ ФСТЭК.
Как DAST связан с РБПО и ГОСТ Р 56939?
ГОСТ Р 56939-2024 «Защита информации. Разработка безопасного программного обеспечения. Общие требования» (приказ Росстандарта от 24.10.2024 №1504-ст) описывает процессы разработки безопасного ПО (РБПО) и включает анализ защищённости приложения как обязательную практику жизненного цикла — наравне со статическим анализом кода (SAST) и анализом состава ПО (SCA). Формально стандарт не требует именно динамического анализа как отдельного единственно верного метода — тестирование на этапе исполнения может выполняться и другими способами (пентест, фаззинг), но DAST — самый автоматизируемый и воспроизводимый способ закрыть эту практику в CI/CD. Требование значимо в первую очередь для субъектов КИИ и госсектора, для которых РБПО обязателен по смежным нормативным актам.
Какие российские DAST-решения есть на рынке?
Из проверенных по первоисточникам: PT BlackBox (Positive Technologies) — первый российский самостоятельный DAST-сканер on-premise (2022); Solar appScreener (ГК «Солар») — комплексная AppSec-платформа SAST+DAST+SCA с действующим сертификатом ФСТЭК; SolidPoint DAST (СолидЛаб) — специализированный DAST-сканер веб-приложений и API; DerScanner (DerSecur) — комплексная SAST+DAST+SCA платформа с элементами машинного обучения; AppSec.Sting (Стингрей Технолоджиз, ранее «Стингрей») — нишевая платформа для мобильных приложений iOS/Android на базе IAST. Вебмониторэкс (WMX) предлагает узкоспециализированный API DAST (тестирование API по OAS-спецификации) — он учтён в разборе API Security, а не здесь, чтобы не задваивать оценку одного и того же продукта в двух классах.