Газпромбанк: ML-триаж отчётов безопасности SAST и DAST
Что внедрили
В практическом исследовании применены модели машинного обучения для автоматизированного разбора, классификации и приоритизации результатов статического и динамического анализа безопасности ПО.
Результат
Для классификатора DAST указаны Precision 0.99, Recall 0.98, F1 score 0.991 и ROC AUC score 0.99; экспертная оценка подтвердила точность определения нестандартных ответов на уровне 96.7%; в некоторых случаях время анализа сократилось на порядок.
Описано исследование с обучением и тестированием моделей; внедрение онлайн-модели непосредственно в pipeline обозначено как следующий этап.
Задачи
AppSec; SSDLC; SAST; DAST; триаж отчётов; классификация уязвимостей; CatBoost; машинное обучение
Параметры внедрения
- Компания
- Газпромбанк
- Отрасль
- Финансы и страхование
- Процессы
- Безопасность и управление рисками; Разработка продуктов и исследования; Контроль качества
- Продукт
- Offline-модель для SAST и классификатор CatBoost для DAST
- Сроки
- Не указаны
- Стоимость
- Не раскрыта