Намерение Hewlett-Packard купить разработчика ПО безопасности привлекает внимание рынка к становящемуся все более важным, но пока недостаточно освоенному сегменту решений для защиты приложений.

Небольшая компания Fortify располагает набором технологий для тестирования приложений на всех этапах их разработки вплоть до внедрения.

Планируемое приобретение дополнит портфель технологий HP, который та начала формировать в 2007 году с покупкой производителя средств защиты веб-приложений SPI Dynamics. Благодаря покупке Fortify в HP смогут предложить своим клиентам диапазон инструментов статического и динамического анализа приложений, сопоставимый с решениям и IBM. Эти инструменты используются для проверки приложений на этапах кодирования и тестирования, а также на стадии развертывания.

IBM и HP уже предприняли целый ряд шагов для создания конкурирующих пакетов средств защиты приложений. Формируются они и у той и у другой компании главным образом посредством покупок. Так например, покупка SPI Dynamics компанией HP последовала за приобретением корпорацией IBM производителя средств защиты веб-приложений, компании Waterfire. И Fortify будет приобретена вслед за приобретением IBM конкурента Fortify, компании Ounce Labs.

Эти приобретения двух крупнейших ИТ-компаний придают большую убедительность важному сегменту рынка, отметил Джошуа Корман, аналитик компании The 451 Group и сооснователь группы RuggedSoftware.org, которая ставит своей задачей привлекать внимание специалистов к практикам безопасного кодирования.

Несмотря на то что хакерские атаки на уровне приложений становятся все более частыми, компании продолжают расходовать свои бюджеты, выделяемые на информационную безопасность, на проекты защиты на сетевом уровне. Из 50 млрд долл., которые корпоративный сектор, по некоторым оценкам, в прошлом году выделил на продукты и услуги безопасности, на средства защиты приложений приходится едва ли не 500 млн долл.

По мнению Кормана, это происходит оттого, что ИТ-руководители недостаточно хорошо осознают необходимость защиты приложений. "Программное обеспечение обретает характер инфраструктурного материала, как цемент и сталь. Но оно отнюдь не обладает присущей этим материалам надежностью, — образно пояснил Корман. — Сложившаяся культура разработки сосредоточена на эффективности приложений, но не на их безопасности".

Еще одной причиной, по которой средства защиты приложений медленно осваиваются предприятиями, является недопонимание, как наиболее эффективно их использовать. Некоторые производители заявляют, что эти инструменты должны использоваться для сканирования каждой строчки кода с целью выявления уязвимостей на этапе разработки приложений. Другие утверждают, что лучше всего использовать их для выявления и исправления проблем в исполняемом коде.

Корман предположил, что предложение соответствующих инструментов такими компаниями, как HP и IBM, привлечет на этот рынок больший объем инвестиций: "Только очень немногие готовы осваивать технологии небольших производителей на рынке, который еще только формируется".

"Суть заявлений IBM и HP сводится к тому, что есть время и место для всех технологий, — сказал Пит Линдстрем, аналитик компании Spire Security. — Большое значение имеют и интерактивные, и статические инструменты".

Инвестиции HP и IBM в средства защиты приложений подчеркивают важность, которую эти производители придают выходу в данный сектор, считает Дейв Петерсон, директор по маркетингу компании Coverity, еще одного разработчика инструментария защиты Coverity. "Мы расцениваем эти шаги как подтверждение того, что задача обеспечения целостности программ получила свое самостоятельное место в жизненном цикле ПО".

Корпорация Intel пришла к соглашению с компанией McAfee о покупке последней за 7,68 млрд долл., аналитики находят эту цену весьма щедрой. В то же время у многих из них сама эта сделка вызывывает недоумение: непонятно, зачем нужен разработчик программных средств безопасности компании, занимающейся только аппаратными продуктами.

"Я в недоумении, — признал Питер Ферстбрук, аналитик Gartner. — Не вижу точек соприкосновения между McAfee и Intel. В лучшем случае эта покупка может быть неплохой венчурной инвестицией для Intel. Кроме того, компании ведут исследования и разработки в нескольких смежных областях".

Кто действительно может получить выгоду от этой сделки, во всяком случае на короткое время, считает аналитик, — так это конкуренты McAfee, компании Symantec, Sophos и Trend Micro. Каждая из них — конечно, если будет действовать оперативно, — может извлечь преимущества за период, пока сделка завершится и на какое-то время снизится интенсивность бизнеса McAfee в ходе интеграции. "Активность McAfee безусловно снизится. Возможно, это открывает хорошие перспективы для Symantec и других производителей антивирусных средств", — отметил Ферстбрук.

Президент и генеральный директор Intel Пол Отеллини заявил, что покупка продиктована уверенностью Intel в том, что средства защиты становятся основополагающим компонентом онлайн-систем.

"Число и разнообразие подключаемых к Интернету устройств растет высочайшими темпами, все больше и больше сфер нашей жизни вовлекаются в сетевое компьютерное пространство, — сказал Отеллини. — Благодаря покупке McAfee наша компания получит коллектив исключительно талантливых людей и многолетний опыт инновационной деятельности в области защиты, а тажке разработки продуктов и сервисов, делающих Интернет безопаснее".

По прогнозам Ферстбрука, интеграция технологий безопасности компании McAfee в аппаратные продукты Intel потребует долгого времени. Он заметил, что таких же результатов можно было добиться быстрее и с меньшими затратами, заключив партнерские соглашения с разработчиками средств защиты.

"Речь идет о других продуктах,  другом рынке,  другой клиентской базе, — напомнил Ферстбрук. — Для Intel время исчисляется кварталами и годами, McAfee же должна реагировать на появление новых угроз в течение считанных дней. Если представить себе компьютерный рынок как стек решений, в нижнем части которого расположены аппаратные средства и на верхних уровнях — разного рода программное обеспечение, то одна компания окажется в основании этого стека, другая же — на самом верху.

Эндрю Яквит, аналитик компании Forrester Research, обратил внимание на то, что корпоративные клиенты McAfee немало озадачены этим шагом.

"У клиентов McAfee есть причины для беспокойства, и не только из-за сделки", — сказал он, напомнив о том, что McAfee немало разочаровала своих клиентов, когда в предложенных ею обновлениях  продуктов защиты обнаружились уязвимости; в результате пострадали тысячи корпоративных ПК. Неопределенность положения в связи с планами Intel только усугубит ситуацию.

Между тем это не первый случай, когда производитель компьютерного аппаратного обеспечения покупает разработчика средств защиты.

В 2006 году EMC приобрела компанию RSA, а IBM получила в свое распоряжение инструментарий защиты от Rational, Ounce Labs и WatchFire. Чуть раньше компания Hewlett-Packard объявила, что намерена приобрести Fortify, разработчика средств защиты приложений; сумма этой сделки пока не разглашается.

Пит Линдстрем, аналитик компании Spire Security, полагает, что покупка поможет Intel диверсифицировать ее бизнес в отдаленной перспективе. "Intel — большая компания, она располагает значительным капиталом и намерена провести диверсификацию. Не секрет, что она проявляет интерес к сервисам, а у McAfee есть ряд сервисов защиты на базе облака", — напомнил он.