SaaS Monmer – розробка, що береже бізнес

Сайт, платформа, мобільний застосунок складаються з багатьох елементів. Частину з них ви бачите і навіть взаємодієте з окремими компонентами, це Front-End. Інша частина працює «в тіні», зокрема Back-End, сервер тощо. Окрім цього може існувати ще один програмний прошарок, призначення якого – контролювати доступ до системи, відстежувати ризиковий трафік, спроби проникнення до БД тощо. 

Monmer – втілення універсальної системи захисту програмних рішень та внутрішніх даних від різноманітних ризиків. Ця платформа поєднує не лише канонічні інструменти та механіки, але і використовує сучасніші рішення на кшталт ШІ. Її розробка дозволила закрити одразу кілька чутливих проблем та гарантувати безпеку цифровим інфраструктурам найрізноманітніших ніш бізнесу.

Хочете більше подробиць? Ознайомтеся з наступними частинами кейсу!

Впродовж останнього десятиріччя ви неодноразово чули про релізи все нових систем захисту. Найгучніше подібні новини звучать у геймдеві, як от рішення штибу Denuvo та йому подібних. Тематика ж цифрової безпеки бізнесу часто лишається поза кадром, оскільки будь-яка цінна інформація, злита в мережу може зашкодити тим, хто використовує подібні системи захисту.

Впродовж останніх років ми впроваджували різні системи безпеки у рішення клієнтів. Однак один з них вирішив піти далі і замовив розробку окремої інфраструктури для власних потреб. Так і з'явилася ідея Monmer, яка базувалася на наступних принципах:

• Автоматизація процесів відстеження вразливостей та загроз.
• Ізольований інструмент адміністрування системи (Super Admin).
• Multi-tenant керування організаціями та процедурами аудиту.
• LLM для швидшого реагування на ризики.
• Надійність системи та легкість її обслуговування.

На папері навіть ці базові аспекти виглядають складно, реалізація платформи на практиці виявилася ще складнішою та проблемнішою. Хоча і успішною в підсумку.

Концепцію замовника ми зрозуміли одразу – SaaS платформа, яка відповідає за безпеку не одного підприємства, а функціонує як основа, на базі якої здійснюється керування кіберризиками одразу для кількох бізнесів. І це з одного боку спрощує розробку, але з іншого підвищує відповідальність, але про це пізніше.

Отож, для створення продукту ми використали оптимальний набір технологій, зокрема:

• Backend: Node.js, Express.js.
• Frontend: React.js, TypeScript.
• Аутентифікація: Clerk.
• База даних: PostgreSQL.
• Зберігання файлів: Google Cloud Storage.
• Планування задач і фонові джоби: Cron jobs, Hangfire.
• AI-інтеграція: OpenAI ChatGPT API.
• DevOps: Google Cloud Platform (GCP).

На базі цього техстека ми реалізували наступні моменти:

• Підтримка багатотенантності з деревом організацій і користувачів, доступним Super Admin у режимі лише для читання.
• Динамічний потік початкової оцінки з логікою нарахування балів і умовними питаннями.
• Адмін-панель для завантаження та керування фреймворками, мовними файлами, SMTP-шаблонами та AI-підказками.
• Модуль External Attack Surface Management із автоматичним отриманням та збереженням JSON-файлів.
• Детальні журнали аудиту та дашборди із відображенням останніх користувачів і організацій.
• Wizard Mode для покрокового онбордингу користувача та самооцінки інвентаризації.

Найголовніше – побудували контрольоване ізольоване середовище для керування інструментами системи. Тож редагувати основні алгоритми та загалом модернізувати платформу можна лише локально. Це значно покращує загальну безпечність продукту та унеможливлює зовнішнє втручання у його роботу.

Сказати що розробка пройшла без проблем не можемо, оскільки система значно складніша за мобільні та вебзастосунки, навіть високозахищені. Справедливості заради – ми впоралися з викликами, про які розповімо далі.

Концепція гарна, але інструментів для її реалізації критично не вистачало. Тож провівши серію мозкових штурмів, ми побудували дорожню карту, якої дотримувалися в процесі роботи. Отож, ми:

• Розробили гнучку багатотенантну архітектуру з детальним керуванням ролями.
• Інтегрували API OpenAI ChatGPT для генерації персоналізованих рекомендацій фреймворків на основі динамічних відповідей користувачів.
• Автоматизували процеси завантаження та обробки початкових оцінок із логікою умовного нарахування балів.
• Побудували модуль зовнішнього сканування, який асинхронно отримує та обробляє результати перевірок із виділених Linux-серверів і зберігає їх для кожної організації.
• Забезпечили високий рівень безпеки, зокрема через обмеження доступу за IP для ізольованого Super Admin модуля.
• Розробили потужну адмін-панель із можливістю редагування мовних файлів, SMTP-шаблонів та журналу аудиту.

Таким чином позбулися 99% викликів, які ставив перед нами проєкт. Чому не 100%? Все просто – ідеалу не існує, тож все має власні вразливості. Хоча зізнаємось, зробили все, щоб закрити потенційні джерела ризиків. І закрили настільки, наскільки це дозволяють наявні технології. Ну і додали дещо від себе, щоб точно позбутися деяких гіпотетичних проблем. 

І хоч система вже працює, ми не припиняємо її модернізувати. Крок за кроком покращуємо платформу і додаємо все нові інструменти для нівелювання всіх потенційних загроз.

Monmer – сучасний приклад багатовекторної централізованої системи захисту даних. Кіберзахисту, щоб простіше. Платформа поєднує ізольоване ядро, з якого можна використовувати механіки та алгоритми для впровадження потужної системи безпеки для цифрової інфраструктури фактично кожного окремого бізнесу. 

Через цей проєкт ми досягли наступних переваг для клієнта:

• Підвищення рівня безпеки завдяки прозорому відстеженню вразливостей і автоматизованим процесам відповідності.
• Зменшення ручної роботи коштом автоматизації початкових оцінок, рекомендацій фреймворків і зовнішніх інтеграцій сканування.
• Гнучке адміністрування платформи та безпечне управління багатьма організаціями завдяки ізольованій Super Admin панелі.
• Чіткий огляд критичних знахідок для швидшого реагування на ризики.
• Можливість розгортання як на хмарній інфраструктурі, так і локально, відповідно до потреб клієнта.

Таким чином замовник отримав якісну SaaS систему захисту, яку може використовувати самостійно та монетизувати у вигляді сервісу для сторонніх підприємств. Ми своєю чергою отримали нового партнера і порцію позитивних відгуків про реалізований продукт.

Бажаєте реалізувати аналогічний проєкт? Потрібна допомога фахівців? Довірте це експертам BuildApps. Зв'яжіться з менеджером для початку співпраці!