HackerOne Code

הסקירה

סריקת קוד אוטומטית מתחילה בדרך כלל בהצפה של התראות שרובן חסרות משמעות מעשית, וכאן הכלי מנסה לפעול אחרת. הוא בודק קומיטים ובקשות משיכה ישירות בתוך סביבות כמו GitHub או GitLab, ומצליב בין כלי אבטחה מסורתיים כמו SAST וגם SCA לבין מודלים שמנתחים את זרימת המידע והארכיטקטורה. במקום לזרוק עליכם רשימה אינסופית של שורות בעייתיות, הוא מנסה להבין אם חולשה מסוימת באמת ניתנת לניצול בסביבה שלכם לפני שהוא מתריע. הוא משלב חוקרים אנושיים מהרשת של HackerOne במקרים מורכבים, ומייצר הצעות תיקון מותאמות שמנסות לשמור על סגנון הכתיבה של הצוות.

הוא זוכר החלטות קודמות שלכם ומשתפר מכל בדיקה.

איך זה עובד בפועל

הרעיון המרכזי כאן נשען על זיכרון מתמשך ולמידה מהמשוב שאתם מחזירים לו. אם סימנתם התראה מסוימת ככזו שאינה רלוונטית, או שתיקנתם קוד באופן שמבטל את הסכנה, המודל מתאים את הניתוח הבא שלו לדפוסים האלה כדי למנוע רעש חוזר. זה עובד גם בכיוון ההפוך, כאשר מקרים קשים במיוחד מועברים לעיניים של מומחי אבטחה שמאמתים את חומרת הבעיה. התיקונים שהוא מייצר מגיעים ישירות לתוך כלי העבודה היומיומיים, כולל Bitbucket וגם Azure DevOps, כך שהמפתחים לא צריכים לפתוח ממשק נפרד או ללמוד מערכת דוחות חדשה רק כדי להבין מה לעשות.

זה שווה את זה רק אם הצוות שלכם באמת טובע ברעש של סורקים ישנים.

ההבדל העיקרי מול סורקים סטטיים רגילים הוא השילוב בין מודלים שמבינים הקשר לבין מומחי אבטחה בשר ודם. רוב הסורקים בודקים חוקים קשיחים ומחזירים מאות התראות שדורשות שעות של מיון ידני, בעוד שכאן המטרה היא להגיש רק מה שמהווה סיכון עסקי אמיתי. מה שבאמת מפריע כאן הוא שאין שום שקיפות לגבי העלויות באתר. למרות שהמוצר מתויג לעיתים בקטגוריות פתוחות או חינמיות, בפועל אין מחירון פתוח ברשת. כדי לקבל מספר תצטרכו למלא טופס ארוך, לספק כתובת מייל ארגונית ולהמתין שנציג מכירות יחזור אליכם כדי לתמחר את העסקה.

למי זה מתאים ובאיזה מחיר

בשל מודל המכירה הזה, הכלי מיועד בראש ובראשונה לחברות בינוניות וגדולות שכבר מחזיקות תקציב ייעודי לאבטחת מידע ולצוותי פיתוח שמייצרים קוד בקצב מהיר. ארגונים שמתמודדים עם רגולציה קפדנית בתחומי הפיננסים או הבריאות ימצאו בו עניין, במיוחד בגלל הגיבוי של מומחי האבטחה האנושיים שמסננים את הממצאים. מנגד, לא הייתי משתמש בזה לפרויקטים אישיים, לצוותים קטנים מאוד או לסטארטאפים בתחילת הדרך, שפשוט צריכים סריקה פשוטה ומהירה בלי לעבור תהליך מכירה ארגוני מתיש. כל הממשק, הדוחות והתקשורת מתנהלים באנגלית בלבד, כך שאם אתם מחפשים תמיכה מקומית בעברית, לא תמצאו אותה כאן.

• מחירון גלויאין באתר
• שפת ממשקאנגלית בלבד
• בדיקה אנושיתקיימת במקרים מורכבים

תהליך המכירה דורש סבלנות.

לפני שאתם משאירים פרטים ומתחילים שיחות עם אנשי המכירות שלהם, כדאי לכם לבדוק בדיוק איך נראה החיבור למאגרי הקוד שלכם והאם מדיניות האבטחה הפנימית שלכם מאפשרת שילוב של מודלי שפה חיצוניים ומומחים אנושיים חיצוניים על הקוד. האתר מציע הדגמה אינטראקטיבית קצרה, וזו דרך טובה לראות איך המערכת מציגה את התיקונים בתוך סביבת העבודה הרגילה לפני שמקצים לזה זמן ניהולי. אם החברה שלכם כבר משתמשת בשירותי בדיקות חדירה של אותה חברה, החיבור יהיה טבעי יותר, אבל למי שמתחיל מאפס מדובר בהתחייבות תהליכית שדורשת בדיקה זהירה מראש.