# Технологии и инструменты

{% tabs %}
{% tab title="По типу сканирования" %}
Список поддерживаемых технологии:

* SAST - Static Application Secutity Testing
* DAST - Dynamic Applicaiton Security Testing
* SCA - Software Composition Analysis
* SD - Secret Detection
* CS - Container Security
* IaC - Infrastructure as Code
* SBOM - Software Bill of Materials
* Discovery and Enrichment Tools
  * Domain Discovery
  * Port Discovery
  * Host & Web Probing
    {% endtab %}

{% tab title="По объектам сканирования" %}
Список поддерживаемых объектов:

* Репозитории
* Docker-образы
* Домены
* Хосты
  {% endtab %}
  {% endtabs %}

{% hint style="info" %}
**Обозначения статусов поддержки сканеров в TRAIO**

* **TRAIO’s Choice 🚀**\
  \&#xNAN;*Лучшие сканеры, которые мы рекомендуем запускать в первую очередь. Проверены на практике, максимально стабильны, дают лучший пользовательский опыт и работают “из коробки”.*
* **Recommended ✅**\
  \&#xNAN;*Надёжные и проверенные сканеры, которые отлично подходят для большинства задач. Рекомендуем к использованию, если нужен стабильный и предсказуемый результат.*
* **Stable 🟢**\
  \&#xNAN;*Стабильные и поддерживаемые сканеры. Работают корректно, прошли тестирование, но не имеют уникальных преимуществ или “фишек” топовых решений.*
* **Beta 🧪**\
  \&#xNAN;*Сканеры в стадии тестирования. Могут содержать баги или ограничения. Подходят для энтузиастов, пилотов и раннего внедрения.*
* **Experimental ⚡️**\
  \&#xNAN;*Экспериментальные сканеры. Используются для исследований и тестов новых подходов. Возможны нестабильная работа и неполная поддержка.*
  {% endhint %}

### **SAST - Static Application Security Testing**

<table><thead><tr><th width="90.03335571289062">Тип</th><th>Название</th><th width="221">Статус</th><th>Стек</th><th>Комментарии</th><th>Версия</th></tr></thead><tbody><tr><td><strong>SAST</strong></td><td><a href="../scanners/sast/gitlab-semgrep">Gitlab Semgrep</a></td><td><div data-gb-custom-block data-tag="hint" data-style="success" class="hint hint-success"><p><strong>TRAIO’s Choice ⭐️</strong></p></div></td><td>Multilang, 30+ Языков программирования</td><td>Semgrep с дополненными правилами от Gitlab</td><td>latest (Протестировано на 6.14)</td></tr><tr><td><strong>SAST</strong></td><td><a href="../scanners/sast/bandit">Banidt</a></td><td><div data-gb-custom-block data-tag="hint" data-style="success" class="hint hint-success"><p><strong>Stable 🟢</strong></p></div></td><td>Python</td><td></td><td>latest (Протестировано на 1.9.3)</td></tr><tr><td><strong>SAST</strong></td><td><a href="../scanners/sast/semgrep">Semgrep</a></td><td><div data-gb-custom-block data-tag="hint" data-style="success" class="hint hint-success"><p><strong>Stable 🟢</strong></p></div></td><td>Multilang, 30+ Языков программирования</td><td></td><td>latest (Протестировано на 1.151.0)</td></tr><tr><td><strong>SAST/Code Quality</strong></td><td><a href="../scanners/sast/eslint">ESLint</a></td><td><div data-gb-custom-block data-tag="hint" data-style="success" class="hint hint-success"><p><strong>Beta 🧪</strong></p></div></td><td></td><td></td><td></td></tr><tr><td><strong>SAST</strong></td><td>Opengrep</td><td><div data-gb-custom-block data-tag="hint" data-style="warning" class="hint hint-warning"><p>На рассмотрении</p></div></td><td>Multilang, 30+ Языков программирования</td><td>Fork от Semgrep</td><td></td></tr><tr><td>SAST</td><td>Сканнер для 1с </td><td><div data-gb-custom-block data-tag="hint" data-style="warning" class="hint hint-warning"><p>На рассмотрении</p></div></td><td></td><td></td><td></td></tr></tbody></table>

### DAST - Dynamic Applicaiton Security Testing

<table><thead><tr><th width="100.03335571289062">Тип</th><th width="243.9000244140625">Название</th><th width="223.6666259765625">Статус</th><th width="300.666748046875">Стек</th><th>Комментарии</th><th>Версия</th></tr></thead><tbody><tr><td></td><td></td><td><div data-gb-custom-block data-tag="hint" data-style="warning" class="hint hint-warning"><p></p></div></td><td></td><td></td><td></td></tr></tbody></table>

### SCA - Software Composition Analysis

<table><thead><tr><th width="90.03335571289062">Тип</th><th width="129.13323974609375">Название</th><th width="220.3665771484375">Статус</th><th width="251.06671142578125">Стек</th><th width="281.16650390625">Комментарии</th><th>Версия</th></tr></thead><tbody><tr><td>SCA</td><td><a href="../scanners/sca/owasp-dependency-check">OWASP Dependency Check</a></td><td><div data-gb-custom-block data-tag="hint" data-style="success" class="hint hint-success"><p><strong>Stable 🟢</strong></p></div></td><td>Multi-language (зависимости: Maven/Gradle, NuGet, npm/yarn, pip, bundler и др.)</td><td>Анализирует зависимости проекта, сверяет их с базами CVE/NVD. Для online‑обновления баз желательно использовать NVD API key. Можно запускать с предзагруженной БД и <code>--noupdate</code>.</td><td>latest (Протестировано на 12.2.0)</td></tr><tr><td>SCA</td><td><a href="../scanners/sca/owasp-dependency-track">OWASP Dependency Track</a></td><td><div data-gb-custom-block data-tag="hint" data-style="success" class="hint hint-success"><p><strong>Stable 🟢</strong></p><p>Integration (need external Dependency-Track)</p></div></td><td>Multi-language (SBOM: CycloneDX/SPDX; источники SBOM: Syft, Maven/Gradle, npm/yarn, NuGet, pip, bundler и др.)</td><td>Принимает SBOM, сопоставляет компоненты с базами уязвимостей и выдаёт findings по зависимостям. В TRAIO используется ephemeral-режим: на каждый запуск создаётся временный проект, загружается SBOM, ожидается обработка, экспортируется findings в JSON и проект удаляется. Для работы нужен доступ к API и ключ <strong>DT_API_KEY</strong>; URL инстанса задаётся через <strong>DT_URL</strong>.</td><td>Протестировано на v4.13.6</td></tr><tr><td>SCA</td><td><a href="../scanners/sca/trivy-fs">Trivy FS</a></td><td><div data-gb-custom-block data-tag="hint" data-style="success" class="hint hint-success"><p><strong>Stable 🟢</strong></p></div></td><td>Multi-language</td><td></td><td>latest (Протестировано на 0.69.1)</td></tr></tbody></table>

### SD - Secret Detection

<table><thead><tr><th width="100.03335571289062">Тип</th><th>Название</th><th width="162.5667724609375">Статус</th><th>Стек</th><th>Комментарии</th><th>Версия</th></tr></thead><tbody><tr><td>Secret Detection</td><td><a href="../scanners/secrets-detection/trufflehog">Trufflehog</a></td><td><p></p><div data-gb-custom-block data-tag="hint" data-style="success" class="hint hint-success"><p><strong>TRAIO’s Choice ⭐️</strong></p></div></td><td>Multistack</td><td></td><td>latest (Протестировано на 3.93.3)</td></tr><tr><td>Secret Detection</td><td><a href="../scanners/secrets-detection/gitleaks">Gitleaks</a></td><td><div data-gb-custom-block data-tag="hint" data-style="success" class="hint hint-success"><p><strong>Stable 🟢</strong></p></div></td><td>Multistack</td><td></td><td>latest (Протестировано на 8.30.0)</td></tr><tr><td>Secret Detection</td><td><a href="../scanners/secrets-detection/gitlab-gitleaks">Gitlab Gitleaks</a></td><td><p></p><div data-gb-custom-block data-tag="hint" data-style="success" class="hint hint-success"><p><strong>Stable 🟢</strong></p></div></td><td>Multistack</td><td>Gitleaks насыщенные правилами от Gitlab</td><td>latest (Протестировано на 7.24)</td></tr></tbody></table>

### CS - Container Security

<table><thead><tr><th width="100.03335571289062">Тип</th><th>Название</th><th width="147.36669921875">Статус</th><th>Стек</th><th>Комментарии</th><th>Версия</th></tr></thead><tbody><tr><td>CS</td><td><a href="../scanners/cs/trivy-image">Trivy Image</a></td><td><div data-gb-custom-block data-tag="hint" data-style="success" class="hint hint-success"><p><strong>Stable 🟢</strong></p></div></td><td>Docker Image</td><td></td><td>latest (Протестировано на 0.69.1)</td></tr></tbody></table>

### IaC - Infrastructure as Code

<table><thead><tr><th width="75.33340454101562">Тип</th><th width="93.53338623046875">Название</th><th>Статус</th><th width="106.4000244140625">Стек</th><th>Комментарии</th><th>Версия</th></tr></thead><tbody><tr><td>IaC</td><td><a href="../scanners/iac/checkov">Checkov</a></td><td><p></p><div data-gb-custom-block data-tag="hint" data-style="success" class="hint hint-success"><p><strong>TRAIO’s Choice ⭐️</strong></p></div></td><td>Multistack</td><td>Поиск небезопасных конфигураций и нарушений best practices в инфраструктурном коде </td><td>latest (Протестировано на 3.2.504)</td></tr><tr><td>IaC</td><td><a href="../scanners/iac/trivy-iac">Trivy IaC</a></td><td><div data-gb-custom-block data-tag="hint" data-style="success" class="hint hint-success"><p><strong>Stable 🟢</strong></p></div></td><td>Multistack</td><td></td><td>latest (Протестировано на 0.69.1)</td></tr></tbody></table>

### SBOM - Software Bill of Materials

<table><thead><tr><th width="100.03335571289062">Тип</th><th width="114">Название</th><th width="233">Статус</th><th>Стек</th><th width="100">Комментарии</th><th>Версия</th></tr></thead><tbody><tr><td>SBOM Gen</td><td><a href="../scanners/sbom/syft">Syft</a></td><td><div data-gb-custom-block data-tag="hint" data-style="success" class="hint hint-success"><p><strong>Recommended ✅</strong></p></div></td><td>Multipackage 35+ package managers</td><td></td><td>v1.41.0-debug</td></tr><tr><td></td><td></td><td></td><td></td><td></td><td></td></tr></tbody></table>

### Discovery and Enrichment Tools

Discovery and Enrichment Tools (информационные / подготовительные инструменты) - инструменты разведки для насыщения информации о приложении для определенных сканеров (могут быть использованы отдельно, но рекомендуется к использованию в определенной последовательности)

| Тип инструмента    | Название  | Описание                                                        | Поддержка стека | Используется для                                           |
| ------------------ | --------- | --------------------------------------------------------------- | --------------- | ---------------------------------------------------------- |
| Domain Discovery   | Subfinder | Основной инструмент для быстрого пассивного сбора поддоменов    | Домены          | Может быть использован для насыщения информации для naabu  |
| Port Discovery     | Naabu     | Проверка открытых портов и сервисов                             | Сетевые сервисы | Может быть использован для насыщения информации для httpx  |
| Host & Web Probing | httpx     | Фильтрация только живых веб-серверов + сбор полезной информации | HTTP/HTTPS      | Может быть использован для насыщения информации для nuclei |

## Archive variant of table

| Тип сканера                 | Название             | Описание                                                         | Поддержка стека                          | Статус    |
| --------------------------- | -------------------- | ---------------------------------------------------------------- | ---------------------------------------- | --------- |
| **SAST**                    | **Brakeman**         | Статический анализ Ruby on Rails на безопасность.                | Ruby / Rails                             | Полная    |
| **SAST**                    | **ESLint**           | Статический анализ JavaScript/TypeScript (безопасность + стиль). | JS, TS                                   | Полная    |
| **SAST**                    | **GitLab Node.js**   | Статический анализ JavaScript                                    | JavaScript                               | Полная    |
| **SAST**                    | phpcs-security-audit | Анализ PHP-кода                                                  | PHP                                      | Полная    |
| **SAST**                    | **Gosec**            | Статический анализ Go-кода (Golang)                              | Go                                       | Полная    |
| **SAST**                    | **PHPCodeSniffer**   | Анализ PHP-кода на соответствие стандартам (PSR) и безопасность. | PHP                                      | Полная    |
| **SAST**                    | **Spotbugs**         | Статический анализ Java/Kotlin (FindBugs fork).                  | Java, Kotlin                             | Полная    |
| **SAST, IaC**               | **Snyk**             | Интеграция с Snyk                                                | Multiple                                 | Частичная |
| **SCA**                     | **Retire.js**        | Обнаружение устаревших и уязвимых JS-библиотек.                  | JavaScript, npm                          | Полная    |
| **SCA, Container Security** | **Vulners Trivy**    | Trivy + база Vulners (расширенные CVE, эксплойты).               | Docker, ОС, зависимости                  | Полная    |
| **DAST**                    | **Arachni**          | Веб-сканер уязвимостей (DAST). Поиск XSS, SQLi, RCE и др.        | Веб-приложения (HTTP/HTTPS)              | Полная    |
| **DAST**                    | **Naabu**            | Быстрое сканирование портов и хостов.                            | Сетевые сервисы                          | Полная    |
| **DAST**                    | **Nuclei Scan**      | Сканер уязвимостей                                               | Веб-приложения                           | Полная    |
| **MAST**                    | **Mobsfscan**        | Анализ мобильных приложений (APK, IPA)                           | Android, iOS                             | Полная    |
| **Cloud, Infrastructure**   | **Prowler AWS**      | Аудит безопасности                                               | AWS, Azure, Google Cloud, and Kubernetes | Полная    |
| **IaC**                     | **Terrascan**        | Статический анализ Terraform на безопасность.                    | Terraform                                | Полная    |

{% hint style="success" %}
**TRAIO’s Choice ⭐️**
{% endhint %}

{% hint style="success" %}
**Stable 🟢**
{% endhint %}