Сравнение ASOC по функциям и условиям

Есть по документации

Продукты объединяют репозитории; задаются бизнес-критичность, описание и группы доступа. Роль владельца актива работает с назначенными объектами; находки связаны с репозиторием и веткой.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен

Создание продукта; Работа с продуктом; Создание репозитория; Управление доступом пользователей в продуктах; Стандартные роли

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Приложения и владельцы». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Есть ли инвентарь приложений, репозиториев, проектов и ответственных с привязкой находок? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Есть по документации

Приложения объединяют кодовые базы, артефакты, экземпляры, команды, рабочие пространства и релизы; импорт и сканирование привязывают находки к этим объектам. Доступ и действия разделены по ролям.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Приложения в AppSec.Hub — Приложения; Рабочие пространства — Рабочие пространства; Интеграционный API — Application, Sources, Unit, Release

Документация ↗ · Документация ↗ · Документация ↗

Есть по документации

Иерархия проект → слой → проверка связывает приложение, источник, ветку/тег, анализатор и находки. Проекты имеют код, описание и метки; находке назначается пользователь или группа.

TRON.ASOC 1.7, выпуск 31.08.2026

Quick start; Create a security check; Processing security issues

Документация ↗ · Документация ↗ · Документация ↗

Подтверждена часть сценария

Продукты объединяют репозитории, Docker-образы, домены и хосты; находки связаны с продуктом и активом. Ответственные отражаются через роли и Jira-пространства; единая обязательная модель владельца каждого актива не описана. Release notes SC 2.9.0 отдельно добавляют поле владельца продукта в настройки Jira.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Активы продукта | CyberCodeReview; полный текст главы, строки 1–71 | Параметры продукта | CyberCodeReview; полный текст главы, строки 1–40 | https://gitlab.cybercodereview.ru/cybercodereview/security-center/-/releases: 10 последних опубликованных релизов: tag_name/released_at/description

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Как задаётся и контролируется ответственный владелец актива?

Есть по документации

Проект объединяет репозитории, пользователей, группы, интеграции и сканирования; находки привязаны к проекту, версии, ветке и коммиту. Предусмотрены владелец проекта, разработчик и специалист ИБ.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Концептуальная модель предметной области - Platform V ASOC Control Center — Концептуальная модель; Разметка уязвимостей найденных модулями сканирования ASOC - Platform V ASOC Control Center — Предусловия; параметры сканирования; Управление ролями и правами доступа - Platform V ASOC Control Center — Ролевая модель

Документация ↗ · Документация ↗ · Документация ↗

Есть по документации

Есть импорт и привязка GitLab, Bitbucket, Azure Repos и других перечисленных VCS, ветки и SHA коммита. GitLab поддерживает события нового репозитория и MR. В Azure сканирование связано со слиянием PR; обычный push или approve сами по себе его не запускают.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен. Интеграции GitLab/Bitbucket требуют Enterprise; события зависят от коннектора.

Создание репозитория; Работа с ветками; Детали дефекта; GitLab интеграция; BitBucket интеграция; Azure DevOps интеграция

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Связь с системой версий». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Какие VCS, ветки, коммиты и pull/merge request поддержаны и какие действия выполняются? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Есть по документации

Документированы GitHub, GitLab, Bitbucket и другие Git-системы, ветки/коммиты и базовые линии; GitLab получает статусы конвейера и Quality Gate. У универсального Git-подключения без API недоступно получение исходного кода находки, файлы более 8 МБ не загружаются в просмотр.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Подключение инструментов разработки ПО — VCS; подключение GitHub/GitLab/Bitbucket/git-based; Пайплайны — Конфигурация уведомлений в GitLab CI; Проблемы безопасности — Детальная информация; Path

Документация ↗ · Документация ↗ · Документация ↗

Есть по документации

Git-источник поддерживает API-токен, пароль, анонимный доступ и SSH без passphrase. В 1.7 документированы webhook-триггеры push и merge/pull request для GitLab, GitHub, Bitbucket и Gitea; проверка содержит ветки/теги.

TRON.ASOC 1.7, выпуск 31.08.2026. Поведение для каждого типа webhook и конфигурация коннектора требуют проверки на установке.

Scanning sources; Create a security check; What's new

Документация ↗ · Документация ↗ · Документация ↗

Есть по документации

Документированы GitHub, GitLab и Bitbucket с правами токена, импорт репозиториев, push/merge request webhooks и запуск при коммите. Для QG нужны интеграция VCS и последовательность заданий актива.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Интеграция с системой контроля версий (VCS) | CyberCodeReview; полный текст главы, строки 1–56 | Импорт репозиториев | CyberCodeReview; полный текст главы, строки 1–13 | Quality Gate | CyberCodeReview; полный текст главы, строки 1–25

Документация ↗ · Документация ↗ · Документация ↗

Есть по документации

В конвейер передаются URI репозитория, ветка и хеш коммита. Описаны точки запуска при сборке и commit/pull-request, получение ZIP исходников по URL, в том числе пример Bitbucket. Это подключение через CI/API, а не доказательство готового плагина для любой VCS.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Плагины и точки встраивания в CI/CD - Platform V ASOC Control Center — Поддерживаемые точки встраивания; передача артефактов по URL; Запуск сканирования через CLI - Platform V ASOC Control Center — Конфигурационные файлы; интеграция с CI/CD

Документация ↗ · Документация ↗

Есть по документации

Профили задают набор, порядок, образы, команды и параметры сканеров. Поддержаны встроенные Semgrep/Trivy/Gitleaks/Trufflehog/ZAP и подключённые PT AI, CodeScoring, AppScreener, SASTAV, AppSec.Track; пользовательский контейнер должен выдать поддерживаемый формат.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен. Профили — Enterprise; для коммерческих анализаторов нужны отдельная интеграция и права на анализатор.

Предустановленные сканеры; Профили сканирований; Статистика и сравнение сканирований

Документация ↗ · Документация ↗ · Документация ↗

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Запуск анализаторов». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Какие внешние сканеры можно запустить, настроить и контролировать; какие агенты и лицензии нужны? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Есть по документации

Сканирование запускается через встроенный Hub Engine либо внешний CI. Поддержка зависит от сочетания анализатора и объекта; для PT AI/CodeScoring требуется подготовка образа с PT AISA/Johnny. Таблица совместимости содержит, в частности, PT AI 6.2, Dependency-Track 4.13.5, CodeScoring 2026.27.1; лицензии анализаторов отдельные.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Пайплайны — Конфигурация Hub Engine; настройка и экспорт пайплайна; Подключение инструментов сканирования — Особенности интеграций; Интегрируемые инструменты — Интегрируемые инструменты; Обновление 2026.3.2 до 2026.3.3 — Обновление AppSec.Hub Engine

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Есть по документации

Проверка связывает заранее настроенные источник и анализатор, запускается вручную или по расписанию; API запускает слой, группу или отдельную проверку. Статусы показывают очередь, выполнение, успех или незавершение; ошибка и превышение времени переводят в Not completed.

TRON.ASOC 1.7, выпуск 31.08.2026. Запуск зависит от конкретного анализатора и его прав; по умолчанию предел выполнения 24 часа.

Create a security check; Monitoring security check status; What's new

Документация ↗ · Документация ↗ · Документация ↗

Есть по документации

Auditor выполняет настраиваемые Docker-задания, порядок сканеров, передачу общих артефактов и CLI/API интеграции. Требуются отдельный Auditor, доступ к registry/активам и параметры конкретного сканера; наличие импортера само по себе не означает запуск сканера.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Интеграции | CyberCodeReview; полный текст главы, строки 1–8 | Настройка задач Auditor | CyberCodeReview; полный текст главы, строки 1–31 | Создание последовательности сканеров | CyberCodeReview; полный текст главы, строки 1–25 | Установка Auditor | CyberCodeReview; полный текст главы, строки 1–76 | https://gitlab.cybercodereview.ru/cybercodereview/auditor/-/releases: 10 последних опубликованных релизов: tag_name/released_at/description

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Есть по документации

SASTMASTER распределяет задания через Kafka между Infer, Gosec, Semgrep, GitLeaks, PTAI и Svace и собирает статусы. PTAI и Svace вызываются агентами во внешних системах; SCAMASTER использует адаптер Dependency-Track. Доступность и лицензии внешних анализаторов обеспечиваются отдельно.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

SASTMASTER - Platform V ASOC Control Center — Состав; сценарий работы SASTMASTER; SCAMASTER - Platform V ASOC Control Center — Состав и сценарий SCAMASTER

Документация ↗ · Документация ↗

Подтверждена часть сценария

Результаты SAST/DAST/SCA, поиска секретов и IaC загружаются через веб-интерфейс, API и CLI. Документированы SARIF, CycloneDX и собственные форматы перечисленных инструментов; таблица импорта не означает возможность запуска любого из них. Совместимость точных версий форматов всех перечисленных инструментов таблицей не установлена.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен. Точная совместимость конкретного отчёта проверяется по выбранному парсеру.

Загрузка результатов сканирований; Список поддерживаемых сканеров

Документация ↗ · Документация ↗

Что уточнить: Укажите версии форматов отчётов и парсеров для выбранных инструментов; импорт по типам уже подтверждён.

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Импорт результатов». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Какие отчёты сторонних SAST/DAST/SCA и иных сканеров принимаются, в каких версиях форматов и через какие коннекторы? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Есть по документации

Есть штатный импорт из анализаторов и загрузка собственных JSON-отчётов через UI/CLI/API. Поддерживаются схемы Hub.Report 1.0.1 и 1.0.2 для SAST, DAST, SCA Security/Compliance с указанием инструмента. Такой импорт создаёт объект и находки, но сам сканер не запускает.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Проблемы безопасности — Импорт отчётов; Приложение 17. Отчеты для импорта информации о проблемах безопасности — JSON-схемы 1.0.1 и 1.0.2; Интеграционный API — POST /integration и /integration/report

Документация ↗ · Документация ↗ · Документация ↗

Подтверждена часть сценария

Внешний JSON и файл отчёта принимаются API в конкретную проверку. В 1.7 есть системные парсеры и собственный JSONata-парсер; Aqua переведена на JSON, поддержка её старого HTML прекращена. Отдельно описан импорт SBOM. Точные версии всех принимаемых внешних форматов требуют отдельной таблицы совместимости.

TRON.ASOC 1.7, выпуск 31.08.2026. Не означает поддержку любой версии отчёта любого анализатора.

What's new; SBOM reports; Integration into the CI process

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Какие версии форматов внешних отчётов поддержаны каждым парсером в 1.7?

Подтверждена часть сценария

Есть UI/REST импорт отчётов, CodeQL SARIF, GitLab SAST/DAST форматы, Trivy и другие именованные парсеры; кастомные импортеры загружаются отдельным файлом. Версии схем каждого отчёта перечислены не полностью; неподдержанный scanner_name не импортируется.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Импорт через терминал используя файл отчета | CyberCodeReview; полный текст главы, строки 1–107 | Актуальные кастомные импортеры | CyberCodeReview; полный текст главы, строки 1–21 | CodeQL | CyberCodeReview; полный текст главы, строки 1–106

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Укажите совместимые версии форматов отчётов и парсеров для выбранных сканеров.

Подтверждена часть сценария

Есть импорт результатов JSON и SARIF с проверкой валидности и формированием внутреннего отчёта, а также адаптеры SAST/SCA. Версии схем JSON/SARIF, таблица совместимости импортируемых отчётов и границы DAST-импорта в прочитанном комплекте не раскрыты.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Импорт результатов сканирования - Platform V ASOC Control Center — Основной сценарий импорта; SASTMASTER - Platform V ASOC Control Center — Сценарий работы; SCAMASTER - Platform V ASOC Control Center — Сценарий работы

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Какие версии JSON/SARIF и внешние форматы отчётов принимает CAP 3.0.0, включая DAST, и где опубликованы схемы и ограничения?

Есть по документации

Парсеры переводят результаты в finding/issue с исходным инструментом и полями. Для SARIF указан порядок выбора severity и явное значение None при отсутствии уровня. Пользовательские сабпарсеры разделяют инструменты одного формата и область авторезолва.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен

Список поддерживаемых сканеров; Алгоритм дедупликации

Документация ↗ · Документация ↗

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Единая модель находок». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Как поля и идентификаторы разных сканеров приводятся к общей модели и сохраняется происхождение? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Есть по документации

Схемы отчётов сохраняют инструмент/версию, правило, источник, местоположение и ссылку на исходную находку. Для коннекторов приведены таблицы преобразования критичности и статусов; например, Unassigned Dependency-Track становится Low, а CodeScoring использует CVSS 3, затем CVSS 2.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Приложение 17. Отчеты для импорта информации о проблемах безопасности — tool, rules, locations, findings; Подключение инструментов сканирования — Dependency-Track/CodeScoring: соответствие уровней и статусов; Проблемы безопасности — Метаданные находки

Документация ↗ · Документация ↗ · Документация ↗

Подтверждена часть сценария

Происхождение сохраняется через источник, проверку и инструмент; JSONata позволяет добавить парсер, а результаты имеют общие поля CVE/CWE, код и компонент. Полная схема обязательных полей и нормализации severity для всех парсеров в доступной копии не прочитана.

TRON.ASOC 1.7, выпуск 31.08.2026

What's new; Security issue duplicates and copies; Security scan results

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Пришлите схему результата JSONata-парсера 1.7 и правила обработки отсутствующих/конфликтующих CVSS, severity и идентификаторов источника.

Подтверждена часть сценария

Карточка находки содержит сканер и источник, CWE/CVSS, путь, зависимость, актив и продукт; парсеры преобразуют отчёты в эту модель. Полная схема маппинга и правила сохранения всех исходных идентификаторов не опубликованы.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Просмотр отдельной уязвимости | CyberCodeReview; полный текст главы, строки 1–26 | Сканеры | CyberCodeReview; полный текст главы, строки 1–143

Документация ↗ · Документация ↗

Что уточнить: Где описаны правила преобразования полей и сохранение идентификаторов исходного отчёта?

Подтверждена часть сценария

Для находок SAST вычисляется normalizedFindingKey, результаты сохраняются в личном кабинете. Для записей внешних баз уязвимостей отдельно описаны raw_record, нормализованные поля и provenance. Это не заменяет отсутствующую в комплекте полную схему преобразования находок каждого сканера.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

SASTMASTER - Platform V ASOC Control Center — Дедупликация результатов; Сервис хранения единой базы уязвимостей - Platform V ASOC Control Center — Механика дедупликации; модель данных

Документация ↗ · Документация ↗

Что уточнить: Пришлите схему нормализованной находки SAST/SCA и правила сохранения исходного идентификатора, сканера и полей при преобразовании.

Есть по документации

Находки связываются с общей issue по приоритетным хешам SAST/SCA/DAST. Есть пример корреляции Semgrep и Checkmarx. Неполные поля влияют на совпадение; данные issue берутся из родительской находки, дубли обычно их не обновляют, кроме solution.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен. Точность алгоритма не измерялась; межветочная синхронизация — отдельная настройка.

Алгоритм дедупликации

Документация ↗

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Дедупликация и корреляция». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Как связываются дубли внутри запуска, между запусками и между разными сканерами; какие пределы алгоритма? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Подтверждена часть сценария

Есть сопоставление одинаковых ID при повторном импорте и корреляция разных инструментов по приложению, типу и признакам. Корреляция не применяется к SCA Compliance и DAST AppSec.Sting. При одновременном импорте политик и всех уязвимостей SCA документация допускает дубли.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Обработка уязвимостей — Корреляция уязвимостей; ограничения; Проблемы безопасности — Импорт отчётов; Подключение инструментов сканирования — Dependency-Track/CodeScoring: Import policy alerts и Import vulnerabilities

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Как рекомендуете устранять документированные дубли SCA при двух флагах импорта и какие сценарии корреляции SCA Compliance/DAST Sting поддержаны в 2026.3.3?

Есть по документации

Копия определяется совпавшим настраиваемым хешем: новая запись не создаётся, обновляется дата обнаружения. Можно исключить тип сканера из хеша для межинструментального совпадения. Дубли с разными хешами группируются правилом или вручную. Параметры хеша меняются только конфигурацией.

TRON.ASOC 1.7, выпуск 31.08.2026. При пересчёте копий сохраняется ранняя запись; открытая копия приводит к New, иначе Fixed. Точность — пилот.

Security issue duplicates and copies

Документация ↗

Есть по документации

Базовая дедупликация при импорте игнорирует найденный дубль в области продукта/типа/всего SC; расширенная сравнивает сохранённые находки по настраиваемым условиям и удаляет дубли. В Medium только базовый режим; пользовательские правила требуют иной платной лицензии. Точность не измерена.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Дедупликатор | CyberCodeReview; полный текст главы, строки 1–40 | Правила базовой дедупликации | CyberCodeReview; полный текст главы, строки 1–28 | Правила расширенной дедупликации | CyberCodeReview; полный текст главы, строки 1–57

Документация ↗ · Документация ↗ · Документация ↗

Подтверждена часть сценария

Подтверждена дедупликация результатов разных SAST-инструментов по normalizedFindingKey в пределах одного запуска. Дедупликация записей БДУ — отдельный механизм. Связывание находок между запусками, ветками и после изменения строк кода не установлено.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

SASTMASTER - Platform V ASOC Control Center — Дедупликация результатов сканирования; Сервис хранения единой базы уязвимостей - Platform V ASOC Control Center — Дедупликация записей БДУ

Документация ↗ · Документация ↗

Что уточнить: Как CAP 3.0.0 идентифицирует одну находку между запусками, ветками и изменениями кода; сохраняется ли триаж?

Есть по документации

Повторное обнаружение, исчезновение и возврат меняют New/Recurrent/Fixed/Reopened. Сравнение ограничено контекстом ветки/актива/версии артефакта и парсера; отсутствие в одном сканере не закрывает другой, кроме уже объединённой issue. Межветочная синхронизация выключена по умолчанию.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен. Для инкрементального отчёта предусмотрен skipAutoResolve; нельзя трактовать неполный скан как полное исправление.

Детали дефекта; Алгоритм дедупликации; Межветочная синхронизация; Об утилите vampi-cli

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «История и повторное появление». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Как отличают новые, исправленные и повторно появившиеся находки с учётом веток и базовой линии? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Есть по документации

Базовая линия выбирается относительно первого, предыдущего, заданного сканирования или целевой ветки. Отображаются New/Repeated, история состояний и статусы по веткам; исчезнувшая из очередного импортированного отчёта находка становится Fixed, ранее проведённый триаж восстанавливается при повторном появлении.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Пайплайны — Настройка пайплайна; сравнение результатов; Проблемы безопасности — Детальная информация; смена статуса; импорт отчётов; Релизы — Привязка к релизам

Документация ↗ · Документация ↗ · Документация ↗

Подтверждена часть сценария

Есть история обнаружения и повторного выявления, ветки/теги и сравнение сканов с предыдущим, выбранным или попарно. Полный алгоритм автоматического закрытия при неполном/ошибочном отчёте и межветочной базовой линии не раскрыт.

TRON.ASOC 1.7, выпуск 31.08.2026

Processing security issues; Scan comparison report; Security scan results; Monitoring security check status

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Как 1.7 закрывает и повторно открывает находки при инкрементальном, пустом или ошибочном отчёте; как разделяет ветки и парсеры?

Подтверждена часть сценария

Есть временная шкала статуса, ветка импорта и автозакрытие отсутствующей в новом отчёте находки: «Решить» либо «Удалить». Политика повторного открытия и устойчивая baseline при смене ветки/строк не раскрыты.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Автозакрытие | CyberCodeReview; полный текст главы, строки 1–10 | Просмотр отдельной уязвимости | CyberCodeReview; полный текст главы, строки 1–26 | Импорт через терминал используя файл отчета | CyberCodeReview; полный текст главы, строки 1–107

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Как идентифицируется и повторно открывается вернувшаяся находка после смены ветки или строк?

Подтверждена часть сценария

Доступны журнал запусков и выбор версии, репозитория, ветки и коммита; карточка хранит историю ручных состояний. Правила сравнения с базовой линией, автоматического закрытия исчезнувшей находки и её повторного появления не установлены.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Разметка уязвимостей найденных модулями сканирования ASOC - Platform V ASOC Control Center — Предусловия; карточка уязвимости; Просмотр журнала сканирований - Platform V ASOC Control Center — Журнал и статусы сканирований

Документация ↗ · Документация ↗

Что уточнить: Как задаётся базовая линия и определяются новые, исправленные и повторно появившиеся находки между сканированиями?

Есть по документации

Доступны ручные статусы, критичность, комментарии и автоматические правила. История хранит прежние/новые значения и инициатора. BRO даёт вероятностную FP-оценку по локальной разметке, а LLM — отдельный анализ; автоматическое подавление требует проверки порогов.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен. BRO и LLM-интеграции — Enterprise; качество рекомендаций проверяется в пилоте.

Детали дефекта; Действия над дефектами; Создание правила; Типы событий; Vampy BRO

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Триаж». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Какие ручные и автоматические действия проверки находки доступны и сохраняются ли обоснования решений? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Есть по документации

Ручные решения Confirmed/False positive/Accepted risk сопровождаются комментарием и историей; разработчик запрашивает смену статуса у инженера ИБ. CoPilot mini доступен без отдельной лицензии, облачный AppSec.CoPilot требует лицензии; автооценки имеют перечисленные ограничения по языкам/CWE и требуют проверки.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Проблемы безопасности — Смена статуса вручную; запрос смены статуса; Обработка уязвимостей — Обработка уязвимостей; ограничения CoPilot; Управление лицензией AppSec.Hub — AI Provider

Документация ↗ · Документация ↗ · Документация ↗

Есть по документации

Пользователь меняет статус и серьёзность, назначает ответственного, комментирует; история содержит причины изменений. Существуют настраиваемая статусная модель и политики по событиям/расписанию. Метки Duplicate/False-Positive сами по себе статус не меняют.

TRON.ASOC 1.7, выпуск 31.08.2026

Processing security issues; Policies

Документация ↗ · Документация ↗

Подтверждена часть сценария

Ручные массовые действия меняют статус, критичность, CWE, группы и теги; Validator применяет условия, отклоняет/принимает риск/отправляет в работу с Jira. Бесплатная лицензия ограничена одним правилом. Не описана обязательность обоснования каждого решения. SC 3.5.0 добавляет комментарии к уязвимостям; обязательность обоснования не заявлена.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Доступные массовые действия | CyberCodeReview; полный текст главы, строки 1–9 | Создание правила | CyberCodeReview; полный текст главы, строки 1–71 | https://gitlab.cybercodereview.ru/cybercodereview/security-center/-/releases: 10 последних опубликованных релизов: tag_name/released_at/description

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Где хранятся обязательное обоснование и автор решения триажа?

Есть по документации

Разработчик передаёт разметку специалисту ИБ; доступны подтверждение, возврат и повторный пересмотр с комментариями. Статусы exploitable, not affected, out of scope и false positive различаются; для not affected требуется категория обоснования. Переходы и права настраиваются.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Разметка уязвимостей найденных модулями сканирования ASOC - Platform V ASOC Control Center — Основной и альтернативные сценарии; таблица переходов; SASTMASTER - Platform V ASOC Control Center — Разметка; конфигурация состояний

Документация ↗ · Документация ↗

Подтверждена часть сценария

Временный статус возвращается к прежнему по дате; правило ограничивается продуктом, репозиторием и веткой. Можно требовать комментарий, а роль разработчика не может принимать риск. Отдельный процесс согласования и назначение ответственного за каждое исключение не описаны.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен

Принять риск на время; Межветочная синхронизация; Типы событий; Стандартные роли

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Есть ли отдельный согласующий и ответственный за исключение с журналом согласования, помимо права менять статус и обязательного комментария?

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Принятие риска и исключения». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Можно ли согласовать исключение со сроком, областью и ответственным и автоматически вернуть его на проверку? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Есть по документации

Принятие риска и False positive задаются со сроком, комментарием и автором; запрос разработчика утверждает инженер ИБ. Для SCA Security есть условное принятие риска по SAST-категории. По истечении срока находка возвращается в To verify; затем при новом импорте на неё снова могут распространиться действующие правила.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Проблемы безопасности — Смена статуса; запрос на смену статуса; Правила обработки проблем безопасности — Правила обработки; сроки и приоритет правил

Документация ↗ · Документация ↗

Подтверждена часть сценария

Правило имеет область проекта/слоя/источника/ветки, критерии, ответственного и срок; после истечения выбирается возвращаемый статус. Отдельное согласование исключения другим лицом и журнал этого согласования не раскрыты.

TRON.ASOC 1.7, выпуск 31.08.2026

Создание и удаление правил безопасности; Creating and deleting security rules

Документация ↗ · Документация ↗

Что уточнить: Есть ли маршрут согласования принятого риска с отдельным согласующим, а не только создание и активация правила?

Подтверждена часть сценария

Validator имеет временно и постоянно принятый риск и область условий. Процедура согласования, точная дата истечения и автоматический возврат из временного риска в документации не установлены.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Создание правила | CyberCodeReview; полный текст главы, строки 1–71

Документация ↗

Что уточнить: Как задаются срок, согласующий и автоматический возврат временно принятого риска?

Есть по документации

Описано создание исключения для выбранной уязвимости с обоснованием и сроком действия уполномоченным пользователем; после окончания срока исключение автоматически отменяется. Применимость исключения проверяется при создании.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Управление исключениями дефектов - Platform V ASOC Control Center — Управление исключениями; Управление исключениями дефектов - Platform V ASOC Control Center — Основной сценарий

Документация ↗ · Документация ↗

Есть по документации

Risk Score использует количество находок по серьёзности и бизнес-критичность репозитория; приведены веса уровней. Критичность можно менять вручную и правилами, в том числе для прямых/транзитивных зависимостей.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен. Не подтверждает наличие внешнего EPSS/KEV или измеренную точность приоритета.

Оценка риска; Детали компонентов; Типы событий

Документация ↗ · Документация ↗ · Документация ↗

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Приоритет исправления». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Какие факторы приоритета используются и можно ли объяснить или изменить порядок исправления? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Есть по документации

Видны критичность/CVSS и контекст находки; инженер ИБ меняет критичность с комментарием и историей. Группы сортируются по WRI с настраиваемыми весами. Документ прямо предупреждает: большое число Low при стандартных весах может поднять группу выше критичных; изменение весов учитывается при следующем пересчёте.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Настройки приложения — Расчёт WRI групп корреляции; Проблемы безопасности — Управление серьёзностью; Аналитика — Риски ИБ

Документация ↗ · Документация ↗ · Документация ↗

Подтверждена часть сценария

Серьёзность меняется вручную; в правилах и QG используются CVSS и Exploitability. Приоритет можно автоматизировать политиками. Полный расчёт бизнес-риска и влияние контекста приложения на очередь исправления не раскрыты.

TRON.ASOC 1.7, выпуск 31.08.2026

Processing security issues; Creating and deleting security rules; What's new; Policies

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Как рассчитывается объяснимый приоритет исправления с бизнес-критичностью приложения; какие поля можно настраивать?

Есть по документации

Критичность/CVSS можно менять вручную и правилами; WRT учитывает число находок, веса критичности и бизнес-критичность продукта. Порог и веса настраиваются. Это управляемая метрика, не независимая оценка качества.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Правила CVSS | CyberCodeReview; полный текст главы, строки 1–47 | WRT (Weighted Risk Trend) | CyberCodeReview; полный текст главы, строки 1–23 | Бизнес-критичность | CyberCodeReview; полный текст главы, строки 1–17 | Настройки метрик | CyberCodeReview; полный текст главы, строки 1–49

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Есть по документации

Критичность и статус эксплуатируемости доступны в разметке; специалист ИБ может изменить критичность с комментарием. Для Security Gate задаются пороги и веса critical/high/medium/low. Автоматическая оценка бизнес-контекста или EPSS этим не подтверждается.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Разметка уязвимостей найденных модулями сканирования ASOC - Platform V ASOC Control Center — Доработка разметки; уровень критичности; SASTMASTER - Platform V ASOC Control Center — Статусы разметки; Настройка Security Gate - Platform V ASOC Control Center — Последовательность настройки

Документация ↗ · Документация ↗ · Документация ↗

Есть по документации

QG проверяет пороги количества дефектов по типу анализа и серьёзности; CLI возвращает отдельные ненулевые коды для FAILED/ERROR, таймаута, ошибки API и задачи. Остановка CI задаётся обработкой кода. SKIPPED считается успехом; простая проверка pipeline без ожидания может вернуть 0 для незавершённого состояния.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен. Собственные QG — Enterprise. Нужно явно включать ожидание/проверку QG; поведение не равно безусловному запрету всех незавершённых сборок.

Критерии качества (Quality gate); Об утилите vampi-cli; Работа с критериями качества (QualityGate)

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Подтвердите номер поставки, где доступны собственные QG Enterprise: текущая глава /sqg/ описывает их, а старый URL /feature/ ещё называет будущей возможностью.

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Контроль выпуска». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Как правило приводит к блокировке сборки/слияния/релиза и что происходит при ошибке сканера или платформы? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Есть по документации

Quality Gate наследуется от компании/подразделения/приложения либо задаётся конвейеру; режим Block прерывает конвейер при нарушении, Info только сообщает. GitLab получает failed при провале QG или ошибке пайплайна; Meta-Runner различает ошибки сканирования и QG ненулевыми кодами. Реальная защита merge зависит от настроек внешнего CI/VCS.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Пайплайны — Quality Gate; уведомления GitLab CI; Приложение 8. Коды выхода Meta-Runner — Коды выхода Meta-Runner; Интеграционный API — Статусы сканирования и qgCheckResult

Документация ↗ · Документация ↗ · Документация ↗

Подтверждена часть сценария

QG привязывается к проекту/проверке; видны целевые и фактические метрики и Passed/Failed. Ошибка сканера даёт Not completed. Доступный CI-пример описывает сканирование и импорт, но не контракт блокировки и обработку ошибки/таймаута QG в сборке.

TRON.ASOC 1.7, выпуск 31.08.2026

Link a quality gate to a security check; Monitoring security check status; Integration into the CI process

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Пришлите пример CI 1.7 с ожиданием QG, ненулевым выходом при Failed/Not completed и недоступности TRON, включая fail-open/fail-closed.

Подтверждена часть сценария

QG фильтрует находки и порог, комментирует/закрывает pull request и обновляет commit status Success/Failed. Нужны VCS и job sequence; порог 0 не учитывается. Поведение при сбое сканера/платформы и fail-open/fail-closed не описано. В Auditor 2.3.0 введён allow_failure для поведения пайплайна при ошибке задания; связь этой настройки с внешним QG требует уточнения.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Quality Gate | CyberCodeReview; полный текст главы, строки 1–25 | https://gitlab.cybercodereview.ru/cybercodereview/auditor/-/releases: 10 последних опубликованных релизов: tag_name/released_at/description

Документация ↗ · Документация ↗

Что уточнить: Каков статус gate при ошибке/таймауте сканера, недоступности SC и частичном отчёте?

Подтверждена часть сценария

Правила Security Gate задаются по проектам с порогами и весами. Описаны CI-точки запуска анализаторов, но явный контракт блокировки сборки/слияния и поведения при недоступности сканера или платформы в доступном комплекте не найден.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Настройка Security Gate - Platform V ASOC Control Center — Настройка Security Gate; Плагины и точки встраивания в CI/CD - Platform V ASOC Control Center — Точки встраивания CI/CD; Запуск сканирования через CLI - Platform V ASOC Control Center — Запуск и проверка статуса через CLI

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Какие коды/ответы CAP 3.0.0 блокируют сборку или merge и что происходит при таймауте, ошибке сканера и недоступности ASOC?

Есть по документации

Jira и Azure Boards поддерживают создание/привязку задач, обратные статусы и внешние комментарии. Можно объединить несколько находок в одну задачу. Для ADO обязательны Service Hooks и маппинг статусов; без них доступно создание без обратной синхронизации.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен. Вывод относится к описанным Jira/ADO, не ко всем трекерам.

Действия над дефектами; Jira интеграция; Azure Boards интеграция

Документация ↗ · Документация ↗ · Документация ↗

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Задачи разработчикам». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Как создаются и синхронизируются задачи, статусы и комментарии во внешнем трекере? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Есть по документации

Есть создание дефектов, ручная и периодическая синхронизация с Jira, YouTrack, TeamStorm и Яга, маппинг статусов и направлений полей. Автопереход Fixed/Reopen настраивается по связанным находкам. У Яга ограничены типы полей и проверка обязательных полей перехода; ошибка статуса может остановить синхронизацию остальных полей.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Дефекты безопасности — Синхронизация; автоматические изменения статуса; Синхронизация с Jira и другими дефект-трекерами — Трекеры; маппинг статусов и полей; особенности Яга; Настройки приложения — Настройки дефектов; Интегрируемые инструменты — Версии трекеров

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Подтверждена часть сценария

Правило автоматически создаёт задачи из отфильтрованных находок. Релиз 1.7 расширяет Jira-поля и API принудительного обновления задачи. Полный двусторонний маппинг статусов и комментариев в доступных главах не подтверждён.

TRON.ASOC 1.7, выпуск 31.08.2026

Actions with response rules; What's new

Документация ↗ · Документация ↗

Что уточнить: Какие трекеры в 1.7 синхронизируют статусы и комментарии в обе стороны; как разрешаются конфликты и повторная доставка?

Есть по документации

Jira поддерживает создание/обновление/удаление задач; для двусторонних статусов, приоритетов, команд, комментариев и тегов нужен webhook. Без него комментарии/теги односторонние. Обязательные пользовательские поля пространства могут мешать прямому созданию задачи.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Интеграция с Jira | CyberCodeReview; полный текст главы, строки 1–81 | Настройка интеграции Jira | CyberCodeReview; полный текст главы, строки 1–126 | Настройка Webhook | CyberCodeReview; полный текст главы, строки 1–64

Документация ↗ · Документация ↗ · Документация ↗

Подтверждена часть сценария

TaskTracker-адаптер создаёт внешнюю задачу из подтверждённой актуальной уязвимости и возвращает ссылку в интерфейс. В установке есть параметры TaskTracker и Jira. Обратная синхронизация статусов, комментариев и повторного открытия не описана.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

TaskTracker-адаптер - Platform V ASOC Control Center — TaskTracker-адаптер; Установка - Platform V ASOC Control Center — Настройка интеграции с системой управления задачами

Документация ↗ · Документация ↗

Что уточнить: Есть ли двусторонняя синхронизация задач Jira/TaskTracker, какие поля и статусы поддерживаются, как разрешаются конфликты?

Нужно уточнить

В матрице ролей есть административное разрешение SLA, но доступные главы не раскрывают расчёт сроков устранения, назначение ответственных и эскалацию просрочки. Одного названия разрешения недостаточно для подтверждения процесса.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен

Стандартные роли; Типы событий

Документация ↗ · Документация ↗

Что уточнить: Пришлите руководство SLA для актуальной Vampy: сроки по критичности, календарь, ответственные, паузы и эскалации просрочки.

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Сроки устранения». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Как задаются сроки, ответственные, уведомления и эскалации просроченных дефектов? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Подтверждена часть сценария

Дашборды считают время триажа/устранения и соответствие SLA относительно длины релизного цикла. Есть ответственные во внешнем трекере и уведомления о событиях, но явное назначение индивидуальных дедлайнов и цепочки эскалации просроченных дефектов внутри Hub не установлены.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Аналитика — Время обработки уязвимостей; Синхронизация с Jira и другими дефект-трекерами — Поля трекера; Настройка уведомлений — Настройка уведомлений

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Есть ли в 2026.3.3 настраиваемые сроки устранения по критичности и эскалации просрочки, помимо дашбордных SLA относительно релизного цикла?

Подтверждена часть сценария

Есть ответственные, уведомления по событиям, политики с cron и временными выражениями. Готовая модель сроков устранения, календарей и эскалации просрочки не описана.

TRON.ASOC 1.7, выпуск 31.08.2026

Processing security issues; Actions with response rules; Policies

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Есть ли штатные SLA устранения по критичности с паузами, календарями и эскалацией или это только пользовательские CEL/cron-политики?

Подтверждена часть сценария

Настраиваются SLA команды безопасности и руководителя продукта; статус показан у находок. Есть cron-уведомления по фильтрам. Автоматическая цепочка эскалации просрочки и календарь рабочего времени не установлены.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Настройки метрик | CyberCodeReview; полный текст главы, строки 1–49 | Критерии и расписание | CyberCodeReview; полный текст главы, строки 1–28

Документация ↗ · Документация ↗

Что уточнить: Есть ли эскалации просрочки и учёт рабочего календаря SLA?

Нужно уточнить

После проверки руководств по задачам, разметке, дашбордам и настройкам не установлены правила сроков устранения, просрочки и эскалации. Создание задачи во внешнем трекере не подтверждает управление SLA внутри CAP.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

TaskTracker-адаптер - Platform V ASOC Control Center — TaskTracker-адаптер; Просмотр аналитики в дашборде - Platform V ASOC Control Center — Просмотр аналитики; Разметка уязвимостей найденных модулями сканирования ASOC - Platform V ASOC Control Center — Процесс разметки

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Где в CAP 3.0.0 задаются сроки устранения по критичности и ответственным, уведомления и эскалации просрочки?

Есть по документации

PDF содержит статистику и детали; JSON/CSV экспортируют отфильтрованные находки и при необходимости комментарии. История запусков показывает длительность и новые/повторные/закрытые находки; сравниваются совместимые типы сканов. Есть экспорт конкретной версии образа с тегом и digest.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен. Фактическая полнота выгрузки проверяется на данных заказчика.

Отчеты и экспорт данных; Статистика и сравнение сканирований; Оценка риска

Документация ↗ · Документация ↗ · Документация ↗

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Отчётность». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Какие отчёты, история и метрики доступны, как определяются показатели и выгружаются данные? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Есть по документации

Есть история находок и метрики MTTD/MTT/MTTR, возраста и технического долга с определениями, фильтрами и просмотром SQL. Дашборды выгружаются в PDF/JPEG, данные метрик — CSV/Excel; находки — XLSX/PDF/ZIP. Отчёт с названием ОУД4 не означает сертификацию приложения.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Аналитика — Метрики DevSecOps; время обработки; риски; Проблемы безопасности — Экспорт проблем безопасности

Документация ↗ · Документация ↗

Есть по документации

Есть сводные и детальные отчёты и сравнение запусков, история статусов/комментариев и экспорт PDF/JSON/CSV/HTML. PDF ограничен тремя проектами; детализация имеет настраиваемый предел находок, а часть фильтров многопроектного отчёта не применяется к метрикам.

TRON.ASOC 1.7, выпуск 31.08.2026. Определения и фактическую полноту метрик следует проверять; обзорная цифра производительности не измерение.

Project report; Scan comparison report

Документация ↗ · Документация ↗

Есть по документации

Краткий/полный отчёт выбирает дату, продукты и подтверждённые находки; дашборд описывает WRT, AVA, MTTD, MTR, MTTR, MTTA и динамику. Определения метрик в руководстве специфичны для переходов статуса находок.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Пользовательские отчеты | CyberCodeReview; полный текст главы, строки 1–32 | Дашборд статистики критичности | CyberCodeReview; полный текст главы, строки 1–94

Документация ↗ · Документация ↗

Подтверждена часть сценария

Есть фильтруемые дашборды по проектам и периодам, журнал запусков со статусом/длительностью и переход к находкам. Полный перечень вычисляемых метрик, формулы и форматы выгрузки отчётов в прочитанных главах не раскрыты.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Просмотр аналитики в дашборде - Platform V ASOC Control Center — Просмотр аналитики; Просмотр журнала сканирований - Platform V ASOC Control Center — Журнал сканирований; Импорт результатов сканирования - Platform V ASOC Control Center — Внутренний отчёт импорта

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Какие метрики и форматы экспорта отчётов поддержаны CAP 3.0.0 и где описаны их формулы?

Есть по документации

API v1 и CLI управляют импортом, запусками, QG и объектами; бот авторизуется токеном с правами группы. Swagger включается в локальной установке. Документированы HTTP/CLI ошибки и webhook-сценарии VCS и трекеров.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен

Загрузка результатов сканирований; Об утилите vampi-cli; Создание бот пользователя; Swagger UI; GitLab интеграция; Azure Boards интеграция

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «API и события». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Есть ли технический API или webhooks для управления проверками и находками с авторизацией и описанными ошибками? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Есть по документации

REST API описывает запуск/импорт и получение статуса; /integration/report принимает собственный JSON-отчёт. Webhooks имеют Basic/Bearer-аутентификацию, статусы, пояснения ошибок и результаты QG. Старый /import/results отмечен устаревшим; для новой интеграции следует использовать /integration.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Интеграционный API — Интеграционный API; Конфигурация Custom webhooks — Конфигурация Custom webhooks; Приложение 15. Спецификация Webhook — Спецификация Webhook

Документация ↗ · Документация ↗ · Документация ↗

Есть по документации

REST API v1 описывает управление проверками, проектами, находками и отчётами, токен API-Key либо Bearer, OpenAPI с параметрами и ответами. 1.7 добавляет адресацию по именам, webhook-триггеры и парсеры.

TRON.ASOC 1.7, выпуск 31.08.2026. Веб-справочник не исполняет тестовые запросы; нужна сеть с доступом к своей установке.

API; What's new

Документация ↗ · Документация ↗

Подтверждена часть сценария

Есть авторизованный Token REST импорт /api/v1/scan/import/ с полями продукта, сканера и ветки; полное API docs доступно в собственной инсталляции /api/v1/docs/. Уведомления используют webhooks. Полный публичный контракт операций и ошибок не получен.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Доступ к конечным точкам API Security Center | CyberCodeReview; полный текст главы, строки 1–6 | Импорт через терминал используя файл отчета | CyberCodeReview; полный текст главы, строки 1–107 | Критерии и расписание | CyberCodeReview; полный текст главы, строки 1–28 | https://gitlab.cybercodereview.ru/cybercodereview/security-center/-/releases: 10 последних опубликованных релизов: tag_name/released_at/description

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Нужна экспортированная OpenAPI точных SC/Auditor версий с ошибками и правами.

Подтверждена часть сценария

Технически описаны загрузка файла в Project Store, запуск по идентификатору/URL и метаданным проекта, ветки и коммита. CLI поддерживает Basic/Bearer-аутентификацию, таймауты и повторы; для загрузки приведены 200/400 и причины ошибок. Полная спецификация API управления находками в этом комплекте не установлена.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Загрузка файлов для сканирования - Platform V ASOC Control Center — POST /v1/file/upload; исключительные сценарии; Плагины и точки встраивания в CI/CD - Platform V ASOC Control Center — POST byBinary/byUrl; Запуск сканирования через CLI - Platform V ASOC Control Center — Флаги аутентификации, повторов и таймаутов

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Нужна спецификация API управления находками CAP 3.0.0 с авторизацией и ошибками; запуск/загрузка уже подтверждены.

Есть по документации

SBOM импортируется и экспортируется как JSON CycloneDX; компоненты связываются с репозиторием, их версиями и находками. Импорт результатов образов умеет фиксировать тег и digest.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен. Поддерживаемая редакция спецификации CycloneDX в этой главе не названа; SPDX не подтверждён.

Фильтры компонентов; Детали компонентов; SBOM; Загрузка результатов сканирований

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Состав компонентов». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Можно ли сформировать или импортировать/экспортировать SBOM, в каких форматах и с какой привязкой к версии приложения? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Нужно уточнить

Изучены SCA-коннекторы, модель компонентов, API и схема импортного отчёта. Установлены сведения о компонентах и передача данных в SCA-инструменты, но документированный интерфейс импорта/экспорта полного SBOM в CycloneDX/SPDX и его версия не найден. JSON находок не приравнен к SBOM.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Подключение инструментов сканирования — Dependency-Track, CodeScoring, AppSec.Track; Приложение 17. Отчеты для импорта информации о проблемах безопасности — componentLocation и отчёты; Интеграционный API — Интеграционный API

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Есть ли в AppSec.Hub 2026.3.3 собственный импорт/экспорт SBOM CycloneDX/SPDX, какие версии и связь с релизом; либо SBOM доступен только во внешнем SCA?

Есть по документации

В проверки перечисленных SCA-инструментов загружается JSON SBOM SPDX или CycloneDX; зависимости доступны после обработки. Из выбранных SBOM создаётся VEX в CycloneDX JSON с метаданными организации.

TRON.ASOC 1.7, выпуск 31.08.2026. Это подтверждение импорта SBOM и экспорта VEX; не заявление о самостоятельной генерации полного SBOM из кода.

SBOM reports; Creating a VEX dependency report

Документация ↗ · Документация ↗

Подтверждена часть сценария

Интеграция Dependency-Track full_scan строит SBOM через syft, передаёт его во внешний DT и получает уязвимости; vulns_upload лишь забирает готовые результаты. Универсальный собственный экспорт/импорт SBOM SC с версиями формата и release binding этим не доказан.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Dependency Track | CyberCodeReview; полный текст главы, строки 1–25

Документация ↗

Что уточнить: Какие версии SBOM форматов и операции импорта/экспорта доступны непосредственно в Security Center?

Подтверждена часть сценария

Конвейер принимает BOM-файл через CLI --bom/--compliance, Project Store или URL, с версией сборки; пример URL содержит CycloneDX JSON. Версии стандарта, генерация и экспорт полного SBOM самим CAP не подтверждены.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Запуск сканирования через CLI - Platform V ASOC Control Center — Основные команды и флаги; Плагины и точки встраивания в CI/CD - Platform V ASOC Control Center — Передача артефактов по URL и Project Store

Документация ↗ · Документация ↗

Что уточнить: Какие версии CycloneDX/SPDX принимает CAP 3.0.0 и доступны ли генерация/экспорт полного SBOM с привязкой к версии проекта?

Нужно уточнить

Главы компонентов и SBOM описывают версии и уязвимости. Правила запрета лицензий зависимостей, исключения и регистрация нарушения не найдены; файл лицензии самой Vampy не является такой функцией.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен

Фильтры компонентов; Детали компонентов; SBOM; Типы событий

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Есть ли политики допустимых лицензий зависимостей с исключениями и влиянием на QG? Укажите руководство и редакцию CycloneDX.

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Политики лицензий компонентов». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Как учитываются лицензии зависимостей, исключения и нарушения лицензионной политики? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Есть по документации

Политики внешних SCA импортируются как SCA Compliance; схема содержит лицензии компонента и условия политики, для нарушений действуют исключения и QG. Создание исходной лицензионной политики остаётся в подключённом SCA. Корреляция SCA Compliance не поддержана; совместный импорт политик и всех уязвимостей может дать дубли.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Подключение инструментов сканирования — Особенности Dependency-Track/CodeScoring; Приложение 17. Отчеты для импорта информации о проблемах безопасности — componentLocation.licenses; sca_cRule.policyConditions; Проблемы безопасности — Принятие риска SCA Compliance; Обработка уязвимостей — Ограничения корреляции

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Нужно уточнить

В доступных главах SBOM/зависимостей описаны состав и VEX. Политики разрешённых лицензий компонентов и исключения не установлены; раздел лицензии самой платформы не является доказательством.

TRON.ASOC 1.7, выпуск 31.08.2026

SBOM reports; Creating a VEX dependency report; TRON.ASOC interface and features

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Есть ли правила по лицензиям зависимостей, исключения и блокировка QG при нарушении; в каком компоненте 1.7?

Нужно уточнить

Импорт результатов SCA/Dependency-Track подтверждён, но собственные правила совместимости лицензий зависимостей, исключения и контроль нарушений в SC не установлены. Лицензия самой платформы — другая сущность.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Dependency Track | CyberCodeReview; полный текст главы, строки 1–25

Документация ↗

Что уточнить: Есть ли в Security Center политики лицензий компонентов и исключения? Нужен раздел руководства, не лицензия ASOC.

Нужно уточнить

В CLI присутствует передача BOM для compliance, а в составе есть Dependency-Track. В руководствах CAP не найдено описание правил лицензий зависимостей, их исключений и обработки нарушений в интерфейсе CAP; возможности внешнего анализатора автоматически не перенесены.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Запуск сканирования через CLI - Platform V ASOC Control Center — Флаг --compliance; SCAMASTER - Platform V ASOC Control Center — SCAMASTER; адаптер Dependency-Track

Документация ↗ · Документация ↗

Что уточнить: Как в CAP 3.0.0 задаются и отображаются политики лицензий зависимостей, исключения и нарушения; что остаётся во внешнем Dependency-Track?

Нужно уточнить

В обзоре, структуре продуктов и правилах описано управление найденными дефектами. Реестр требований или модель угроз до сканирования со связью с находками не документированы в просмотренных главах.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен

Краткий обзор Vampy; Создание продукта; Создание правила

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Есть ли в Vampy самостоятельные требования безопасности/модели угроз с трассировкой к находкам, либо это внешняя интеграция?

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Требования и модели угроз». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Есть ли управление требованиями безопасности или моделями угроз до анализа кода и связь с находками? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Нужно уточнить

В просмотренном руководстве есть навигация SSDL и термины безопасной разработки, но не найден технический процесс создания требований или моделей угроз и связи этих сущностей с находками. Одного названия раздела недостаточно для подтверждения.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Приложения в AppSec.Hub — Навигация приложения; Описание инструмента — Описание инструмента

Документация ↗ · Документация ↗

Что уточнить: Какой компонент AppSec.Hub 2026.3.3 управляет требованиями безопасности/моделями угроз до сканирования и где описана трассировка к находкам?

Нужно уточнить

Доступные главы проектов, слоёв, политик и проверок не подтверждают отдельный реестр требований безопасности/моделей угроз с трассировкой к находкам. Определение CWE и ручное добавление дефекта этого не доказывают.

TRON.ASOC 1.7, выпуск 31.08.2026

Quick start; Policies; Processing security issues

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Есть ли в 1.7 модели угроз или требования до сканирования и их связи с проверками/находками, либо это внешний процесс?

Нужно уточнить

Документы описывают управление активами, сканированием и находками; управление требованиями безопасности/моделями угроз до кода и связь с находками не установлены. Старую редакционную запись о письме не использовали как отрицательное доказательство.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Архитектура | CyberCodeReview; полный текст главы, строки 1–33 | Активы продукта | CyberCodeReview; полный текст главы, строки 1–71

Документация ↗ · Документация ↗

Что уточнить: Есть ли модуль требований безопасности или моделирования угроз с привязкой к находкам в текущей версии?

Нужно уточнить

Комплект описывает проекты, анализаторы, находки, задачи и проверки выпуска. Процедуры управления требованиями безопасности или моделями угроз до анализа кода и их связи с находками не установлены.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Концептуальная модель предметной области - Platform V ASOC Control Center — Концептуальная модель; Основные функции - Platform V ASOC Control Center — Функциональные возможности; Разметка уязвимостей найденных модулями сканирования ASOC - Platform V ASOC Control Center — Разметка находок

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Есть ли в CAP 3.0.0 отдельные сущности требований безопасности/моделей угроз и трассировка к находкам; какой компонент и руководство это описывают?

Есть по документации

Роль группы задаёт разрешения, доступ к продукту/репозиторию задаётся отдельно. Есть пять стандартных и пользовательские роли; системный инженер администрирует платформу без данных проектов. Пользователь состоит ровно в одной группе, прямой доступ перекрывает наследуемый.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен

Управление доступом пользователей в продуктах; Группы пользователей; Стандартные роли; Настраиваемые роли

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Роли и изоляция доступа». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Как ограничивается доступ команд к проектам, исходному коду, отчётам и административным действиям? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Есть по документации

Четыре совмещаемые роли разделяют администрирование, настройку приложений, триаж и чтение. Команды получают доступ к приложениям и рабочим пространствам с выбранными инструментами; разработчик может запросить изменение статуса, но не выполнить триаж самостоятельно.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Пользователи и команды — Роли и команды; Рабочие пространства — Рабочие пространства; Проблемы безопасности — Запрос на смену статуса

Документация ↗ · Документация ↗ · Документация ↗

Подтверждена часть сценария

Руководство API/MCP связывает операции с системными правами, а выгрузки — с доступом к проектам. Доступная копия не раскрывает полный состав ролей, наследование и изоляцию исходного кода/артефактов именно в 1.7.

TRON.ASOC 1.7, выпуск 31.08.2026

Integrating TRON.ASOC with MCP clients; Project report; Quick start

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Пришлите матрицу ролей 1.7 и правила наследования доступа групп к проектам, коду, отчётам и интеграциям.

Есть по документации

Роли разграничивают продукты, находки, автоматизацию, настройки и API token; возможны несколько ролей. Тип продукта имеет приоритет над списком конкретных продуктов. Default позволяет видеть глобальные настройки без изменения; superuser имеет полный доступ.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Управление ролями пользователей и контролем доступа | CyberCodeReview; полный текст главы, строки 1–78 | Создание и редактирование ролей | CyberCodeReview; полный текст главы, строки 1–55

Документация ↗ · Документация ↗

Есть по документации

Есть роли владельца проекта, разработчика и специалиста ИБ, разрешения на переходы разметки; документированы глобальная RBAC и проектная ReBAC. Интеграция с OneWork/Keycloak требует настройки глобальных ролей.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Управление ролями и правами доступа - Platform V ASOC Control Center — Ролевая модель; Нефункциональные особенности - Platform V ASOC Control Center — Информационная безопасность; Установка - Platform V ASOC Control Center — Глобальные роли в клиенте OneWork; Разметка уязвимостей найденных модулями сканирования ASOC - Platform V ASOC Control Center — Таблица переходов

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Есть по документации

Документированы LDAP/AD и Keycloak по OpenID Connect с маппингом групп; при нескольких совпавших правилах назначается группа по умолчанию. Есть локальная TOTP и глобальное требование 2FA. При включении LDAP создание новых локальных пользователей отключается.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен. Общее описание SAML в тексте о Keycloak не принято за доказательство SAML-интеграции Vampy.

Настройка LDAP; Настройка Keycloak; Двухфакторная аутентификация (2FA)

Документация ↗ · Документация ↗ · Документация ↗

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Корпоративный вход». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Какие LDAP/AD/SSO-механизмы и требования MFA поддержаны напрямую либо через внешний IdP? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Есть по документации

Поддерживаются локальные пользователи, несколько LDAP-сервисов и несколько SSO-профилей с SAML-метаданными, подписью/шифрованием assertion и сопоставлением ролей/команд. Наличие собственной MFA не установлено; её применение следует проверить в выбранном внешнем IdP.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Пользователи и команды — Способы аутентификации; LDAP — LDAP; сопоставления и режимы; SSO — SSO; метаданные, подпись, шифрование и режимы

Документация ↗ · Документация ↗ · Документация ↗

Нужно уточнить

В обзорной странице 1.7 заявлены LDAP/AD/SSO, но текущая техническая глава настройки и MFA не получена. Поиск вернул инструкции 1.6/1.6.1; их поведение не перенесено на 1.7.

TRON.ASOC 1.7, выпуск 31.08.2026

General information; Authorization and getting started

Документация ↗ · Документация ↗

Что уточнить: Подтвердите протоколы SSO и MFA в 1.7 и пришлите текущие главы LDAP/IdP, группового маппинга и аварийного входа.

Есть по документации

OIDC и сопоставление ролей документированы для generic/Okta/Microsoft/GitLab; маппинг проверяется при входе. Отдельные LDAP и обязательное MFA средствами платформы не подтверждены; MFA провайдера автоматически не приписывается ASOC.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Настройки SSO | CyberCodeReview; полный текст главы, строки 1–78 | Microsoft SSO | CyberCodeReview; полный текст главы, строки 1–67 | GitLab SSO | CyberCodeReview; полный текст главы, строки 1–43

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Где описаны требования MFA/step-up и отзыв сессии при изменении роли IdP?

Есть по документации

Вход и авторизация интегрируются с внешними Platform V IAM SE/Keycloak; описаны роли в токене и IAM Proxy. Рекомендация двухфакторной аутентификации не является подтверждением встроенной MFA: требования к ней реализуются и проверяются на стороне выбранного IdP.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Нефункциональные особенности - Platform V ASOC Control Center — Информационная безопасность; Установка - Platform V ASOC Control Center — Интеграции IAM, Keycloak, IAM Proxy; Настройка Security Gate - Platform V ASOC Control Center — Описание механизмов безопасности

Документация ↗ · Документация ↗ · Документация ↗

Подтверждена часть сценария

Security-логи фиксируют входы, пользователей/ботов, роли, группы, права и SSO; расширенный режим даёт запись на затронутого пользователя. Отдельной UI-истории групп нет; внешний аудит предлагается согласовать с поддержкой. Защита от изменения и полный регламент экспорта не раскрыты.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен

Журналирование безопасности; Детали дефекта

Документация ↗ · Документация ↗

Что уточнить: Какие форматы и каналы экспорта security-логов, сроки хранения и защита от удаления/подмены поддержаны штатно?

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Журнал действий». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Какие действия пользователей и интеграций журналируются, как защищаются, хранятся и экспортируются журналы? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Подтверждена часть сценария

Есть JSON-журнал аудита и интерфейс событий: входы, роли, интеграции, импорт, настройки QG и синхронизация трекера перечислены в приложении. Журналы вынесены в защищаемую директорию. Не установлены гарантии неизменяемости и отдельная политика хранения/экспорта аудита; инструкция ротации PostgreSQL/nginx не подменяет их.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Журналы аудита — Журналы аудита; Приложение. Список событий аудита — Список событий аудита; Объекты защиты — Объекты защиты; Настройка ротации логов — Область инструкции ротации

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Как настраиваются хранение, экспорт и защита от изменения именно hub-core-audit.log, отдельно от PostgreSQL/nginx?

Подтверждена часть сценария

Есть история изменений находок и событийные уведомления. Полный каталог аудита административных действий, неизменяемость, срок хранения и SIEM-экспорт не подтверждены доступными техническими главами.

TRON.ASOC 1.7, выпуск 31.08.2026

Processing security issues; Actions with response rules

Документация ↗ · Документация ↗

Что уточнить: Какие действия пользователей/интеграций входят в аудит 1.7, как выгружается журнал и защищается от удаления/подмены?

Подтверждена часть сценария

Release notes SC 2.9.0 подтверждают расширенное логирование аутентификации; есть история статуса находки и логи исполнения сканеров. Полный набор административных/API действий, защита журнала, сроки хранения и экспорт не описаны.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Просмотр отдельной уязвимости | CyberCodeReview; полный текст главы, строки 1–26 | Архитектура | CyberCodeReview; полный текст главы, строки 1–33 | https://gitlab.cybercodereview.ru/cybercodereview/security-center/-/releases: 10 последних опубликованных релизов: tag_name/released_at/description

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Какие административные/API действия входят в аудит, каковы защита, retention и экспорт журнала?

Подтверждена часть сценария

В карточке находки есть история комментариев и переходов состояний; системный журнал доступен администратору через DropApp и содержит технические события. Полнота аудита входов, прав и действий интеграций, защита от изменения и сроки хранения не раскрыты.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Разметка уязвимостей найденных модулями сканирования ASOC - Platform V ASOC Control Center — Элементы карточки; Системный журнал - Platform V ASOC Control Center — Системный журнал

Документация ↗ · Документация ↗

Что уточнить: Пришлите перечень событий пользовательского/интеграционного аудита CAP 3.0.0, правила хранения, защиты и экспорта.

Подтверждена часть сценария

Боты получают токен и права группы; для GitLab описан минимальный read_api и неподдержка fine-grained token. Helm хранит ключи платформы в Kubernetes Secret с двухэтапной миграцией. Это не полное описание шифрования и ротации всех сохранённых секретов коннекторов.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен

Управление секретами; Создание бот пользователя; Редактирование пользователей; GitLab интеграция

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Как шифруются токены коннекторов в БД, кем читаются и как выполняются их ротация/отзыв без простоя?

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Секреты интеграций». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Как хранятся, выдаются и отзываются токены/учётные данные коннекторов и агентов? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Подтверждена часть сценария

Пароли инструментов шифруются ключом encrypt.key; для VCS можно ссылаться на SSH-ключ во внешнем оркестраторе без хранения самого ключа в Hub. Реквизиты коннекторов изменяются администратором, события изменения журналируются. Сквозной регламент автоматической ротации/отзыва и защиты ключа шифрования не раскрыт.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Установка AppSec.Hub с использованием Kubernetes — hub-core; encrypt_key и Kubernetes Secrets; Подключение инструментов разработки ПО — VCS; Uploaded SSH key; Приложение. Список событий аудита — tool.credentials.updated; Объекты защиты — Объекты защиты

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Как выполняются ротация encrypt.key, токенов коннекторов и отзыв действующих сессий/агентов без нарушения конвейеров?

Подтверждена часть сценария

Для источников и проверок описаны API-токены, пароль и SSH, для REST — API-Key/Bearer. Процедуры шифрования сохранённых секретов, ротации и централизованного отзыва коннекторов не установлены.

TRON.ASOC 1.7, выпуск 31.08.2026

Scanning sources; Create a security check; API

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Где и как защищены секреты источников/сканеров 1.7, кто может их прочесть и как происходит ротация/отзыв?

Подтверждена часть сценария

Описаны токен SC–Auditor, SSH-ключ, credentials registry/VCS, скрываемые переменные задания и Kubernetes secrets; допускается внешнее хранилище вместо создаваемого Helm secret. Ротация/отзыв и криптография хранения всех коннекторов не раскрыты. В SC 3.6.0 заявлена обработка истечения API-токена; контракт ротации/отзыва не раскрыт.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Установка соединения с Аудитором | CyberCodeReview; полный текст главы, строки 1–18 | Настройка задач Auditor | CyberCodeReview; полный текст главы, строки 1–31 | Установка с помощью Helm | CyberCodeReview; полный текст главы, строки 1–183 | https://gitlab.cybercodereview.ru/cybercodereview/security-center/-/releases: 10 последних опубликованных релизов: tag_name/released_at/description

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Как выполняются ротация/отзыв секретов интеграций и шифрование их хранения?

Подтверждена часть сценария

Для S3 и БД используются секреты DropApp/Kubernetes, пароль TaskTracker передаётся через безопасное хранилище; для развёртывания рекомендованы Kubernetes Secrets или HashiCorp Vault. Регламент выдачи, ротации и отзыва всех токенов коннекторов не описан.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Установка - Platform V ASOC Control Center — Интеграции БД, S-UP, TaskTracker; развёртывание; Нефункциональные особенности - Platform V ASOC Control Center — Информационная безопасность

Документация ↗ · Документация ↗

Что уточнить: Как реализованы ротация и отзыв секретов интеграций CAP 3.0.0 без потери очередей и ручного изменения всех сервисов?

Есть по документации

Есть Docker и Kubernetes с локальными компонентами, внешними PostgreSQL/Redis и настраиваемым retention. LLM-интеграция может отправлять метаданные дефекта и фрагмент кода выбранной модели; проект целиком не отправляется. BRO обучается локально. Retention по умолчанию отключён.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен. Enterprise для LLM/BRO; внешние потоки зависят от выбранных интеграций.

Архитектура и компоненты; Настройка production окружения; Сетевые проходы; Настройка Интеграции; Использование ИИ-ассистента для анализа уязвимостей; Vampy BRO; Хранение данных (retention)

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Размещение и данные». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Какие компоненты развёртываются локально/в облаке, куда передаются код и отчёты, как настроены хранение и удаление? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Подтверждена часть сценария

Есть локальная установка Docker/Kubernetes и раздельные узлы агентов; хранилища и конфигурация задаются администратором. CoPilot mini и облачный CoPilot различаются; использование облачного варианта требует отдельного решения о передаче данных. Рабочий каталог Jenkins по умолчанию сохраняется; полный регламент удаления всех копий кода/отчётов не установлен.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Установка AppSec.Hub с использованием Kubernetes — Компоненты установки Kubernetes; Объекты защиты — Объекты защиты; Обработка уязвимостей — CoPilot mini и облачный CoPilot; Приложение 4. Конфигурационный файл app.properties — hub.ci.jenkins.pipelinePostClean

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Какие данные направляются в облачный CoPilot и как задаётся хранение/удаление исходников, отчётов и резервных копий во всех компонентах 2026.3.3?

Подтверждена часть сценария

Документированы Docker Compose/Kubernetes, собственные БД и S3. В 1.7 вводится SeaweedFS и TTL для исходных результатов/отчётов; SBOM не очищается TTL. Требования всё ещё называют MinIO, что расходится с релизом. Полный состав внешних потоков, особенно AI, не установлен.

TRON.ASOC 1.7, выпуск 31.08.2026

Infrastructure requirements; Установка и обновление; S3 Storage cleanup; What's new; Installing and running the AI FP service

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Пришлите актуальную схему данных 1.7: SeaweedFS вместо MinIO, внешние обращения и что передаёт опциональный AI FP сервис.

Подтверждена часть сценария

SC и Auditor устанавливаются отдельно Docker Compose/Helm с PostgreSQL и брокером; Auditor обращается к registry и активам. Есть внешние LLM-интеграции с настраиваемым payload. Полный срок хранения/удаления кода и отчётов, состав передачи LLM и облачная схема не описаны. Интерфейс Auditor завершён на версии 2.2.0; функции UI перенесены в SC 3.1.0. Исполнитель Auditor остаётся отдельным компонентом.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Установка Security Center | CyberCodeReview; полный текст главы, строки 1–48 | Установка Auditor | CyberCodeReview; полный текст главы, строки 1–76 | Архитектура | CyberCodeReview; полный текст главы, строки 1–33 | Настройка интеграции с LLM | CyberCodeReview; полный текст главы, строки 1–22 | https://gitlab.cybercodereview.ru/cybercodereview/security-center/-/releases: 10 последних опубликованных релизов: tag_name/released_at/description | https://gitlab.cybercodereview.ru/cybercodereview/auditor/-/releases: 10 последних опубликованных релизов: tag_name/released_at/description

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Нужны lifecycle кода/отчётов и точный payload/ограничения LLM для выбранной инсталляции.

Подтверждена часть сценария

Описаны самостоятельное размещение и интеграция с OneWork; компоненты, БД и S3-хранилище настраиваются при установке. Исходники/артефакты передаются выбранным сканерам, PTAI/Svace — внешним системам через агентов. Сроки хранения кода и гарантированное удаление всех копий отдельно не установлены.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Установка - Platform V ASOC Control Center — Выбор режима; подключение модулей; S3; SASTMASTER - Platform V ASOC Control Center — Внешние агенты PTAI/Svace; Подготовка окружения - Platform V ASOC Control Center — Подготовка окружения

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Каковы сроки хранения исходников, артефактов и отчётов в каждом компоненте CAP, и как удаляются копии после удаления проекта?

Есть по документации

Docker обновляется онлайн либо переносимым offline-бандлом. Доступ к registry.hexway.io не нужен при offline-поставке и отключённой оркестрации либо локальных образах всех сканеров. Helm фиксирует версию; откат требует совместимой резервной БД.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен. Автономность внешних сканеров/LLM определяется их собственными зависимостями.

Обновление Vampy; Сетевые проходы; Обновление чарта

Документация ↗ · Документация ↗ · Документация ↗

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Обновления и закрытый контур». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Как обновляются платформа, агенты и коннекторы; какие внешние зависимости и автономный режим документированы? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Подтверждена часть сценария

Описаны обновления контейнеров и Helm до 2026.3.3, отдельное обновление агента и Engine. Есть настройка TLS закрытого контура и ограничение FETCH_LICENSE=false для Golang/Dependency-Track без Интернета. Обновления получают из приватного реестра; полного автономного регламента переноса всех образов/моделей/баз не найдено, облачный CoPilot требует внешнего сервиса.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Обновление 2026.3.2 до 2026.3.3 — Обновление до 2026.3.3; Безопасная сетевая конфигурация — HTTPS в закрытом контуре; Подключение инструментов сканирования — Dependency-Track: Golang в закрытом контуре; Обработка уязвимостей — AppSec.CoPilot

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Как официально переносятся обновления образов, агентов и моделей в изолированный контур и какие функции остаются доступными без внешних сервисов?

Подтверждена часть сценария

Обновление 1.7 включает резервные копии PostgreSQL/ClickHouse и переход на новый реестр; отдельно описан перенос данных в SeaweedFS при выборе этого хранилища. Полный автономный комплект образов и обновление коннекторов в закрытой сети в доступной копии не подтверждены.

TRON.ASOC 1.7, выпуск 31.08.2026

Установка и обновление; Обновление до новой версии TRON.ASOC

Документация ↗ · Документация ↗

Что уточнить: Есть ли offline-комплект 1.7 со всеми образами и зависимостями, как обновляются анализаторы и откатывается миграция SeaweedFS?

Подтверждена часть сценария

Описаны Docker/Helm обновления и IMAGE_VERSION; SC требует однократный доступ к лицензированию, Auditor — адреса registry/зависимостей сканеров. Руководство update использует down -v с удалением томов. Полностью автономный пакет и безопасный rollback не установлены. SC 3.5.0 прямо обозначен как не допускающий автоматического downgrade к 3.3.x без вмешательства в БД.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Обновление | CyberCodeReview; полный текст главы, строки 1–26 | Обновление | CyberCodeReview; полный текст главы, строки 1–23 | Установка Security Center | CyberCodeReview; полный текст главы, строки 1–48 | Установка Auditor | CyberCodeReview; полный текст главы, строки 1–76 | https://gitlab.cybercodereview.ru/cybercodereview/security-center/-/releases: 10 последних опубликованных релизов: tag_name/released_at/description

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Как выполнять offline activation/update и rollback без потери томов; какая процедура заменяет down -v?

Подтверждена часть сценария

Обновление до 3.0.0 описано через установку новой версии/смену тега и Rolling Update. Сервис БДУ получает данные по API NVD/GitHub/OSV/ФСТЭК по расписанию. Полный регламент переноса обновлений платформы и БДУ в изолированный контур не найден.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Обновление - Platform V ASOC Control Center — Обновление; Rolling Update; Сервис хранения единой базы уязвимостей - Platform V ASOC Control Center — Обновление единой базы из внешних БДУ

Документация ↗ · Документация ↗

Что уточнить: Как доставляются подписанные обновления CAP, адаптеров и БДУ в полностью изолированный контур и какие функции требуют внешней сети?

Подтверждена часть сценария

Описаны отдельные фоновые воркеры, Redis, production-размещение по узлам и горизонтальное масштабирование; внешняя PostgreSQL резервируется заказчиком. Docker full-backup/restore охватывает данные и настройки. Полный проверенный failover БД/очередей и числовые RPO/RTO не приведены.

Vampy: публичная документация на 08.10.2026, функции с отметками до 2026.9.2; номер всей поставки не установлен

Архитектура и компоненты; Настройка production окружения; Резервное копирование

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Какая поддерживаемая HA-топология PostgreSQL/Redis и как после отказа гарантируется сохранность очереди и отсутствие повторной обработки?

Нужно уточнить

Не получен технический источник точной версии, позволяющий подтвердить сценарий «Масштабирование и восстановление». Описание ASOC на сайте не заменяет руководство и условия функции.

Security Vision ASOC; техническая документация точной версии не получена

Проверка доступности источников 08.10.2026; technical ASOC source gap

Что уточнить: Как устроены очереди, параллельная обработка, HA и резервное копирование/восстановление состояния? Пришлите раздел руководства с номером версии ASOC, необходимыми компонентами и ограничениями.

Подтверждена часть сценария

Настраиваются число потоков и очередь импорта, таймауты и пересчёт; есть отдельные агенты и инструкция холодного резервного копирования с остановкой системы и восстановлением каталогов/томов. Это не подтверждает автоматический HA/failover или бесшовное восстановление очередей; RPO/RTO нужно измерять.

AppSec.Hub 2026.3.3; документация latest на 08.10.2026; Hub с лицензией соответствующей ёмкости; внешние анализаторы и облачный CoPilot лицензируются отдельно.

Управление задачами/потоками импорта — Задачи/потоки и очередь импорта; Приложение 4. Конфигурационный файл app.properties — Очереди и таймауты; Запуск, остановка и резервное копирование — Резервное копирование и восстановление; Установка AppSec.Hub с использованием Kubernetes — Компоненты Kubernetes

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Какова поддерживаемая HA-топология 2026.3.3 и процедура восстановления очередей/состояния при потере БД или агента; есть ли согласованные RPO/RTO?

Подтверждена часть сценария

Описаны очередь проверок и резервирование PostgreSQL/ClickHouse перед обновлением. PostgreSQL считается основным источником; допускается отставание копии ClickHouse около 20 минут. Сквозное восстановление очереди/файлов и поддерживаемая HA-топология не установлены.

TRON.ASOC 1.7, выпуск 31.08.2026

Установка и обновление; Monitoring security check status; Infrastructure requirements

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Пришлите процедуру DR 1.7 для БД, S3 и очередей, поддерживаемую HA-топологию и проверяемые RPO/RTO.

Подтверждена часть сценария

Есть очереди Celery/RabbitMQ, concurrency workers и перенос/восстановление PostgreSQL через pg_dump/psql. Это не полная HA-архитектура и не резерв всех конфигураций/секретов/артефактов; RPO/RTO не измерены. В Auditor 2.3.0 есть остановка всех активных пайплайнов; в 2.3.3 временно отключено скачивание артефакта, в заметке 2.3.4 возврат не указан.

CyberCodeReview Security Center + отдельный исполнитель Auditor; публичные руководства docs-gramax, срез 08.10.2026. Последние опубликованные релизы SC 3.6.0 (30.09.2026) и Auditor 2.3.4 (14.09.2026); совместимость пары отдельно не подтверждена. Условия конкретных релизов указаны в тексте.

Назначение переменных, связанных с «workers» | CyberCodeReview; полный текст главы, строки 1–19 | Перенос или восстановление базы данных | CyberCodeReview; полный текст главы, строки 1–36 | Архитектура | CyberCodeReview; полный текст главы, строки 1–33 | https://gitlab.cybercodereview.ru/cybercodereview/auditor/-/releases: 10 последних опубликованных релизов: tag_name/released_at/description

Документация ↗ · Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Нужна согласованная backup/restore всех компонентов, HA-топология и обработка незавершённых заданий.

Подтверждена часть сценария

Документированы Kafka-очереди, InBox/OutBox, повторы, масштабирование экземпляров и Rolling Update. Нефункциональное требование доступности не является результатом испытаний; полного согласованного сценария резервирования БД/хранилища и восстановления очередей с RPO/RTO в комплекте нет.

CAP 3.0.0; SASTMASTER/SCAMASTER и явно указанные внешние компоненты.

Нефункциональные особенности - Platform V ASOC Control Center — Надёжность; производительность и масштабирование; Подготовка окружения - Platform V ASOC Control Center — Топики Kafka; Обновление - Platform V ASOC Control Center — Rolling Update

Документация ↗ · Документация ↗ · Документация ↗

Что уточнить: Пришлите поддерживаемую HA-топологию CAP 3.0.0 и инструкции согласованного backup/restore БД, S3 и очередей с проверкой потерянных/повторных заданий.

Проверяется на пилоте

Загрузить размеченные отчёты нескольких сканеров с дублями, разными дефектами и ложными находками; повторить после изменения строк и ветки. Проверить объяснимость и ручную корректировку.

Измерить: Точность и полнота дедупликации, ошибочные слияния/разделения, ошибочно скрытые реальные дефекты, время триажа; набор и версии обязательны.

Проверяется на пилоте

Загрузить размеченные отчёты нескольких сканеров с дублями, разными дефектами и ложными находками; повторить после изменения строк и ветки. Проверить объяснимость и ручную корректировку.

Измерить: Точность и полнота дедупликации, ошибочные слияния/разделения, ошибочно скрытые реальные дефекты, время триажа; набор и версии обязательны.

Проверяется на пилоте

Загрузить размеченные отчёты нескольких сканеров с дублями, разными дефектами и ложными находками; повторить после изменения строк и ветки. Проверить объяснимость и ручную корректировку.

Измерить: Точность и полнота дедупликации, ошибочные слияния/разделения, ошибочно скрытые реальные дефекты, время триажа; набор и версии обязательны.

Проверяется на пилоте

Загрузить размеченные отчёты нескольких сканеров с дублями, разными дефектами и ложными находками; повторить после изменения строк и ветки. Проверить объяснимость и ручную корректировку.

Измерить: Точность и полнота дедупликации, ошибочные слияния/разделения, ошибочно скрытые реальные дефекты, время триажа; набор и версии обязательны.

Проверяется на пилоте

Загрузить размеченные отчёты нескольких сканеров с дублями, разными дефектами и ложными находками; повторить после изменения строк и ветки. Проверить объяснимость и ручную корректировку.

Измерить: Точность и полнота дедупликации, ошибочные слияния/разделения, ошибочно скрытые реальные дефекты, время триажа; набор и версии обязательны.

Проверяется на пилоте

Загрузить размеченные отчёты нескольких сканеров с дублями, разными дефектами и ложными находками; повторить после изменения строк и ветки. Проверить объяснимость и ручную корректировку.

Измерить: Точность и полнота дедупликации, ошибочные слияния/разделения, ошибочно скрытые реальные дефекты, время триажа; набор и версии обязательны.

Проверяется на пилоте

Провести находку через импорт, приоритет, исключение, задачу и gate; проверить закрытие/повторное появление, истечение исключения и недоступность сканера.

Измерить: Доля выполненных сценариев, ошибочные блокировки/пропуски, задержка синхронизации и число ручных действий.

Проверяется на пилоте

Провести находку через импорт, приоритет, исключение, задачу и gate; проверить закрытие/повторное появление, истечение исключения и недоступность сканера.

Измерить: Доля выполненных сценариев, ошибочные блокировки/пропуски, задержка синхронизации и число ручных действий.

Проверяется на пилоте

Провести находку через импорт, приоритет, исключение, задачу и gate; проверить закрытие/повторное появление, истечение исключения и недоступность сканера.

Измерить: Доля выполненных сценариев, ошибочные блокировки/пропуски, задержка синхронизации и число ручных действий.

Проверяется на пилоте

Провести находку через импорт, приоритет, исключение, задачу и gate; проверить закрытие/повторное появление, истечение исключения и недоступность сканера.

Измерить: Доля выполненных сценариев, ошибочные блокировки/пропуски, задержка синхронизации и число ручных действий.

Проверяется на пилоте

Провести находку через импорт, приоритет, исключение, задачу и gate; проверить закрытие/повторное появление, истечение исключения и недоступность сканера.

Измерить: Доля выполненных сценариев, ошибочные блокировки/пропуски, задержка синхронизации и число ручных действий.

Проверяется на пилоте

Провести находку через импорт, приоритет, исключение, задачу и gate; проверить закрытие/повторное появление, истечение исключения и недоступность сканера.

Измерить: Доля выполненных сценариев, ошибочные блокировки/пропуски, задержка синхронизации и число ручных действий.

Проверяется на пилоте

Подать заданное число проектов/отчётов параллельно; прервать агент или БД в тестовой среде и восстановить состояние.

Измерить: p50/p95/p99 времени обработки, пропускная способность, длина очереди, потери/дубликаты, RPO/RTO и ресурсы.

Проверяется на пилоте

Подать заданное число проектов/отчётов параллельно; прервать агент или БД в тестовой среде и восстановить состояние.

Измерить: p50/p95/p99 времени обработки, пропускная способность, длина очереди, потери/дубликаты, RPO/RTO и ресурсы.

Проверяется на пилоте

Подать заданное число проектов/отчётов параллельно; прервать агент или БД в тестовой среде и восстановить состояние.

Измерить: p50/p95/p99 времени обработки, пропускная способность, длина очереди, потери/дубликаты, RPO/RTO и ресурсы.

Проверяется на пилоте

Подать заданное число проектов/отчётов параллельно; прервать агент или БД в тестовой среде и восстановить состояние.

Измерить: p50/p95/p99 времени обработки, пропускная способность, длина очереди, потери/дубликаты, RPO/RTO и ресурсы.

Проверяется на пилоте

Подать заданное число проектов/отчётов параллельно; прервать агент или БД в тестовой среде и восстановить состояние.

Измерить: p50/p95/p99 времени обработки, пропускная способность, длина очереди, потери/дубликаты, RPO/RTO и ресурсы.

Проверяется на пилоте

Подать заданное число проектов/отчётов параллельно; прервать агент или БД в тестовой среде и восстановить состояние.

Измерить: p50/p95/p99 времени обработки, пропускная способность, длина очереди, потери/дубликаты, RPO/RTO и ресурсы.