Сравнение SAST-решений: DerScanner, PT Application Inspector, Solar appScreener, Checkmarx, Semgrep

Универсального победителя среди SAST-решений нет: Semgrep силён лёгкостью и открытым движком, Checkmarx — международной платформой, PT Application Inspector и Solar appScreener — сочетанием статического и динамического анализа и локализованной поддержкой, DerScanner — широким набором методов в on-premise-поставке. Выбор определяется вашим стеком, требованиями к размещению кода и тем, что покажет проверка на вашем коде.

Ниже — нейтральное сравнение пяти решений по данным открытых источников. Мы партнёр DerScanner и прямо это оговариваем; сведения о других продуктах взяты с сайтов вендоров, документации и обзоров, а там, где данных нет, мы пишем «уточняйте у вендора». Критерии, по которым сравниваем, разобраны в статье «Как выбрать SAST-анализатор».

Кратко: кто для чего

• DerScanner — платформа с SAST, DAST, SCA, мобильным и бинарным анализом в одном интерфейсе; подходит, когда нужен единый on-premise-контур для нескольких классов анализа.
• PT Application Inspector — SAST, DAST, IAST и SCA с акцентом на подтверждение уязвимостей; естественный выбор для организаций в экосистеме Positive Technologies.
• Solar appScreener — SAST, DAST и анализ состава ПО в едином интерфейсе, поддержка широкого списка языков.
• Checkmarx — международная платформа с SAST, SCA, IaC и другими модулями, основной акцент на облаке.
• Semgrep — лёгкий анализатор с открытым движком и собственными правилами; хорош для быстрого старта и команд, готовых писать правила.

DerScanner

DerScanner объединяет статический (SAST), динамический (DAST) анализ и анализ состава ПО (SCA) в одном интерфейсе и умеет анализировать как исходный, так и бинарный код, а также мобильные приложения. Это важно, если часть ПО приходит от подрядчиков без исходников. Продукт поставляется для развёртывания в собственном контуре, что снимает вопрос передачи кода наружу.

• Сильные стороны: несколько методов анализа на одной платформе, бинарный анализ, локальное размещение.
• Ограничения: актуальный перечень языков и модулей в вашей редакции и стоимость уточняются у вендора; публичного прайса нет.

Подробнее о продукте — на странице DerScanner. AST Cyber Lab является партнёром вендора в регионе.

PT Application Inspector

По описанию вендора и обзору Anti-Malware.ru, продукт сочетает SAST, DAST, IAST и SCA. Он частично выполняет код, чтобы проверить, эксплуатируется ли найденный путь, генерирует тестовые HTTP-запросы для подтверждения и может формировать правила виртуального патчинга для PT Application Firewall. Среди языков в обзоре версии 4.0 указаны Java, PHP, C#, JavaScript, Python, Kotlin, Go, C/C++, Swift и другие; доступные языки зависят от лицензии. Есть интеграции с Jenkins, TeamCity, GitLab CI и Jira, отчёты по OWASP, PCI DSS и NIST 800-53.

• Сильные стороны: подтверждение уязвимостей снижает шум, связка с WAF-продуктом того же вендора.
• Ограничения: цена по запросу; максимальная отдача при использовании других продуктов Positive Technologies; для компаний из Центральной Азии стоит заранее уточнить возможность поставки и локальной поддержки.

Solar appScreener

По материалам вендора, анализатор поддерживает 36 языков программирования и объединяет SAST, DAST и анализ сторонних компонентов в едином интерфейсе. В описании последних релизов упоминаются собственные правила обнаружения, возможность ограничивать глубину анализа и сертификация ФСТЭК с включением в реестр российского ПО. Сопоставление находок SAST и DAST помогает приоритизации: уязвимость в коде подтверждается сценарием на работающем сервисе.

• Сильные стороны: широкий список языков, сочетание SAST и DAST, возможность писать правила.
• Ограничения: российский вендор; цена по запросу; условия поставки и поддержки в вашей стране уточняйте.

Checkmarx

Checkmarx One — облачная платформа, объединяющая SAST, SCA, сканирование контейнеров и обнаружение вредоносных пакетов, IaC, секреты и API-безопасность. На странице продукта также упомянут on-premise SAST, но основной акцент сделан на облачной платформе. Вендор заявляет гибридный движок, сочетающий детерминированные правила и ИИ. Полный список языков приведён в документации Checkmarx.

• Сильные стороны: широкая международная платформа, множество модулей, развитая экосистема.
• Ограничения: облачная модель может не подойти организациям, которые не передают код наружу; цены по запросу; возможность и условия поставки в страны региона нужно выяснять отдельно.

Semgrep

Движок Semgrep распространяется под лицензией LGPL-2.1, а на платформе Semgrep представлено более 30 языков в Semgrep Code. Community Edition анализирует код в пределах функции или файла и подходит для быстрых ad-hoc проверок, где допустимы ложные срабатывания; платная редакция Semgrep Code добавляет межфайловый анализ, который, по документации, даёт меньше ложных и больше истинных срабатываний, но работает медленнее. Правила Semgrep пишутся в декларативном виде, близком к самому коду, что удобно для проверки внутренних соглашений.

• Сильные стороны: быстрый старт, прозрачность правил, гибкость, подходящий вариант для CI.
• Ограничения: бесплатная редакция менее глубока; расширенные наборы правил и межфайловый анализ связаны с платными редакциями; зрелость поддержки различается по языкам.

Сравнение по ключевым критериям

• Методы анализа: DerScanner — SAST, DAST, SCA, мобильный и бинарный; PT Application Inspector — SAST, DAST, IAST, SCA; Solar appScreener — SAST, DAST, SCA; Checkmarx — SAST, SCA, IaC, контейнеры и др.; Semgrep — SAST (плюс отдельный модуль для зависимостей).
• Основная модель размещения: DerScanner — собственный контур; PT AI — сервер на Linux или в Docker; Solar appScreener — устанавливаемое решение; Checkmarx — преимущественно облако; Semgrep — CLI локально и облачная платформа.
• Цены: у DerScanner, PT AI, Solar appScreener и Checkmarx публичного прайса нет, расчёт по запросу; у Semgrep есть бесплатная редакция, условия платных тарифов смотрите на сайте вендора.
• Свои правила: возможны в PT AI, Solar appScreener и Semgrep; по остальным продуктам уточняйте.
• Подтверждение уязвимостей: наиболее выражено у PT AI и в связке SAST+DAST у Solar appScreener.

Когда подходит какое решение

• Банк или телеком, код не покидает контур, нужен бинарный анализ — стоит включить в пилот DerScanner и локальные установки других вендоров.
• Нужен единый набор Positive Technologies — PT Application Inspector.
• Нужен максимум языков и связка SAST с DAST — Solar appScreener.
• Международная компания, облако допустимо — Checkmarx.
• Небольшая команда, быстрый старт, готовность писать правила — Semgrep.

Практически важнее всего проверить 2–3 кандидатов на одинаковых репозиториях. Порядок проверки — в статье «Пилот SAST и SCA за 30 дней». О том, чем отличаются открытые и коммерческие решения по затратам, читайте в материале «Open-source или коммерческие AppSec-инструменты».

На что смотреть при сравнении на практике

Любая таблица сравнения быстро устаревает: вендоры выпускают релизы, расширяют списки языков и меняют модели лицензирования. Поэтому используйте обзор как отправную точку для составления короткого списка, а не как итоговое решение. Для каждого кандидата запросите у вендора актуальную матрицу поддерживаемых языков и фреймворков, описание архитектуры развёртывания, список интеграций и условия поддержки в вашей стране.

Отдельно проверьте вопросы, которые редко попадают в обзоры: как продукт ведёт себя на очень больших репозиториях, как хранятся и шифруются результаты сканирования, можно ли ограничить доступ к находкам по ролям, как решение обновляет правила в изолированной сети. Именно эти детали чаще всего определяют, будет ли инструмент работать в промышленной эксплуатации банка или телеком-оператора.

Частые вопросы

Источники

• Anti-Malware.ru: обзор PT Application Inspector 4.0
• Habr: новости Solar appScreener
• Checkmarx One: обзор платформы
• Semgrep Docs: Semgrep Code overview
• Semgrep на GitHub
• SecurityLab: обзор российских систем SAST и DAST (авторский блог)