Понимание программного обеспечения

Понимание программного обеспечения предполагает исследование программных систем с целью проверки их функциональности, безопасности и надёжности в различных эксплуатационных условиях. Такой анализ охватывает как статический анализ кода, так и динамическое наблюдение за поведением во время выполнения.

Значимость данного подхода возрастает по мере усложнения и взаимосвязанности программных систем, которые всё чаще содержат компоненты сторонних разработчиков и открытые библиотеки, созданные вне организации.

Необходимость систематизированного подхода к пониманию программ возникла во время так называемого «кризиса программного обеспечения» 1960–1980-х годов, когда сложность ПО начала превышать возможности разработчиков по его надёжному сопровождению и верификации.

В этот период произошли примечательные инциденты, подчеркнувшие важность глубокого анализа программ:

• Инцидент с Therac-25 — аварии в радиотерапии в 1980-х годах из-за ошибок ПО, не выявленных стандартными тестами, что привело к летальным передозировкам радиации.

В ответ инженерные практики эволюционировали в сторону осознанного контроля, улучшения сопровождаемости через структурное программирование, инспекции кода и ранние методы формальной верификации.

Широкое распространение открытых компонентов, разветвлённых цепочек поставок программного обеспечения и быстрых циклов развёртывания создали новые проблемы для понимания программных систем. Организации часто используют ПО сторонних разработчиков, что затрудняет полное понимание поведения систем.

«Разрыв в понимании программного обеспечения» (англ. software understanding gap) обозначает нарастающее несоответствие между общественной зависимостью от сложных программных систем и возможностями их глубокого анализа и верификации^[2].

В докладе 2025 года «Closing the Software Understanding Gap» призывается к скоординированным национальным действиям, включая создание межведомственного исполнительного совета и ужесточение ответственности за принцип secure-by-design. Отмечается необходимость внедрения технологических инноваций, таких как искусственный интеллект, для создания надёжных и доступных средств анализа программ в промышленных масштабах^[3]. Заместитель министра обороны по исследованиям и разработкам Эмиль Майкл (англ. Emil Michael) отметил важность этого доклада на мероприятии DARPA Resilient Software Systems Colloquium в июне 2025 года.

Кроме инициатив государственных ведомств, теме понимания программного обеспечения уделяется внимание и в научном сообществе. В 2025 году запланирован семинар Software Understanding and Reverse Engineering (SURE), объединяющий учёных и практиков, занимающихся проблемами анализа программ, формальной верификации и обратной разработки^[4].

На возникновение разрыва влияют следующие причины:

• Недостаточные инвестиции в средства анализа: десятилетия приоритета быстрого развития ПО над качественным анализом привели к скоплению программ, которые невозможно глубоко исследовать существующими инструментами.
• Избыточная опора на тестирование: организации часто ограничиваются функциональными тестами и заверениями поставщиков, что не позволяет обнаружить скрытые уязвимости или вредоносный код.
• Проблемы масштабируемости: современные инструменты анализа программ сталкиваются с ограничениями по объёму и точности при работе с большими и сложными системами, где возможны астрономические числа вариантов исполнения.
• Быстрая эволюция: постоянные обновления затрудняют своевременное понимание изменяющихся систем.
• Культурные установки: распространено мнение о неизбежности неполного понимания ПО, связанное с научными ограничениями (например, проблемой останова) или экономической нецелесообразностью глубокой проработки.

В марте 2023 года в Арлингтоне (Вирджиния) прошёл семинар «Понимание программного обеспечения в целях национальной безопасности» (англ. Software Understanding for National Security, SUNS), собравший экспертов из 18 государственных ведомств для оценки состояния средств анализа ПО^[5].

В январе 2025 года четыре американских агентства (CISA, NSA, DARPA, и OUSD (R&E)) выпустили совместный доклад «Closing the Software Understanding Gap», в котором отметилось, что понимание программ является приоритетом национальной безопасности, а также предложены меры для координации действий органов власти^[1].

Среди предложенных мер:

• Продвижение принципов secure-by-design и независимой внешней оценки
• Внедрение новых политик и процедур госзакупок для повышения прозрачности состава ПО
• Инвестиции в развитие автоматизированных средств анализа
• Формирование кадрового потенциала и установление межсекторного взаимодействия

В 2025 году Национальные академии провели консенсусное исследование по теме кибербезопасности, подчеркнувшее важность глубокого понимания программ^[6].

Методы и подходы к пониманию программ можно расположить на шкале зависимости от участия автора. Ниже перечислены основные, начиная с наименее требующих вовлечённости создателя.

Динамический анализ заключается в наблюдении за поведением программ при выполнении в контролируемых средах. Используются методы изоляции (sandboxing), фаззинг, мониторинг во время работы. Такой подход позволяет выявлять особенности, проявляющиеся при специфических сценариях, но охватывает лишь проверяемые траектории выполнения.

Обратная разработка применяется для изучения скомпилированных программ без доступа к исходным кодам с помощью дизассемблеров и декомпиляторов. Метод востребован для анализа вредоносного ПО, устаревших систем и сторонних компонентов.

Методы машинного обучения и искусственного интеллекта всё чаще используются для задач понимания ПО, таких как распознавание шаблонов, прогнозирование уязвимостей и автоматическое суммирование кода^[3].

Статический анализ подразумевает исследование исходного кода без его запуска, автоматизированное выявление потенциальных уязвимостей, ошибок программирования или подозрительных паттернов. Несмотря на широкий охват, такие средства склонны к ложно-положительным срабатываниям и могут не справляться с анализом сложных взаимодействий.

Моделирование угроз — построение моделей, отражающих замысел разработчика. При наличии такой документации эти модели могут содействовать пониманию программ. Проблемой служит то, что результат редко фиксируется в машиночитаемой форме. Моделирование угроз чаще иллюстрирует конструкцию, а не бизнес-функционал.

Формальная верификация использует математические методы для доказательства свойств программ или поиска контрпримеров. Несмотря на высокую трудоёмкость, обеспечивает строгие гарантии регулируемого поведения ПО в заданных условиях.

Некоторые резонансные случаи иллюстрируют последствия недостаточного понимания программных систем:

Volkswagen встроила в системы управления двигателем дизельных автомобилей код, позволявший распознавать условия сертификационных тестов и временно снижать уровень выбросов, в то время как в реальной эксплуатации выбросы были выше нормы. Обманные алгоритмы годами не выявлялись контролирующими органами.

Злоумышленники встроили вредоносный код в обновления программного комплекса SolarWinds Orion, которые были подписаны и распространены среди тысяч клиентов — включая агентства правительства США. Вредоносные версии ПО оставались незамеченными в течение нескольких месяцев несмотря на все меры проверки подписи кода.

В популярной библиотеке журналирования Log4j (CVE-2021-44228) была обнаружена критическая уязвимость, позволявшая удалённое выполнение кода и затронувшая тысячи приложений. Недочёт существовал в коде с 2013 года и долгое время не обнаруживался из-за сложности цепочек зависимостей.

Современные исследования в области понимания программ сосредоточены на следующих направлениях:

• Математические основы: разработка формальных методов моделирования и верификации поведения ПО
• Масштабируемый анализ: построение модульных, составных аналитических платформ, способных обрабатывать крупные системы
• Моделирование исполнения: совершенствование симуляции программных сред
• Автоматическая генерация моделей: применение ИИ для создания моделей анализа на основе существующего кода
• Человеко-машинное сотрудничество: создание инструментов для эффективного соединения автоматических средств с экспертизой специалистов