Veracode

הסקירה

Veracode סורק קבצי קוד, תלויות קוד פתוח, קונטיינרים וסביבות ריצה כדי לאתר פרצות אבטחה ישירות בתוך צינור הפיתוח שלכם. הוא בודק את הפרויקט מול חוקי אבטחה, ומציע למפתחים תיקונים אוטומטיים מבוססי בינה מלאכותית בתוך סביבת העבודה הרגילה שלהם. החברה מציגה נתונים של ניתוח 471 טריליון שורות קוד, סריקה של מעל 1.5 מיליון אפליקציות, ותיקון של 148 מיליון באגים. המטרה כאן ברורה מאד. במקום לשלוח דוח ארוך ומעייף לצוות הסייבר בסוף החודש, הכלי מבצע בדיקות SAST ביותר מ־100 שפות וסביבות פיתוח ומנסה לעצור חולשות עוד לפני שהקוד מגיע לשרתים.

המפתח מקבל הכוונה נקודתית בלי להחליף מסכים. הדבר הזה מונע חיכוך מיותר בין צוותי הפיתוח לאנשי האבטחה בארגון.

ניהול סיכונים ובדיקות עומק

השוק מלא בסורקי אבטחה פשוטים, אבל Veracode מנסה לפעול כמרכז שליטה כולל שנקרא אצלם Application Risk Management או ASPM. הוא לא מסתפק רק בקוד שכתבתם בעצמכם, אלא עוקב אחרי שרשרת האספקה של התוכנה, כולל ניהול והפקה של דוחות SBOM כדי לעמוד בדרישות רגולציה מחמירות. בנוסף, הוא מתמקד בזיהוי בעיות ייעודיות שנוצרות מקוד שנכתב על ידי כלי בינה מלאכותית. החברה טוענת לשיעור התראות שווא נמוך מ־0.0 אחוזים, ומשלבת ניתוח סיבת שורש עם המלצות לפעולות הבאות לפי רמת חומרה, במקום להציף אתכם באלפי התראות חסרות משמעות.

מה שבאמת מפריע כאן הוא חוסר השקיפות המוחלט לגבי כסף. אין שום מחיר באתר, ותצטרכו לתאם שיחת מכירה כדי להבין כמה תשלמו בפועל.

באתר החברה אין מחירון, אין מסלולים מוגדרים מראש ואין גרסת התנסות עצמאית שאפשר להפעיל בדקה עם כרטיס אשראי. תמחור בעולם כזה נקבע בדרך כלל לפי כמות המשתמשים, היקף סריקת האפליקציות או גודל שורות הקוד, אבל כאן Veracode מחייבת אתכם ללחוץ על כפתור תיאום הדגמה מול נציג. המשמעות היא שאתם נכנסים לתהליך מכירה ארגוני טיפוסי, שלרוב לוקח זמן ודורש משא ומתן. אם אתם רגילים להירשם בעצמכם ולהתחיל להריץ סריקות באותו רגע, השיטה הזו תעצור אתכם מיד על ההתחלה.

למי המוצר הזה מיועד

לא הייתי משתמש בזה לפרויקטים קטנים או לסטארטאפ בתחילת הדרך. Veracode מיועד מראש לאנטרפרייז, חברות גדולות וצוותים שחייבים עמידה ברגולציות כבדות וצריכים הדרכות פנימיות כמו Security Labs או מערכי למידה מתוקשבים לעובדים. לקוחות כמו Cardinal, Carfax, BMW ו־MIT מופיעים ברשימות שלהם, וזה מעיד על סוג הארגונים שמטמיעים את הפתרון. אם אין לכם מנהלי אבטחת מידע שדורשים אכיפת מדיניות מרכזית, דוחות הנהלה לדרגי C-Level ופיקוח מתמיד על כל ספריות הקוד הפתוח, הפתרון הזה יהיה כבד ומסורבל מדי לצרכים שלכם.

עבור צוותים קטנים זה פשוט מיותר.

לגבי השוק המקומי, כל האתר, התיעוד והמערכות מתנהלים באנגלית בלבד, כך שאין שום ממשק בעברית. מצד שני, כלי פיתוח ואבטחת קוד עובדים תמיד באנגלית, אז זה לא באמת מפריע לעבודה היומיומית. התמיכה הטלפונית שלהם פועלת לפי שעון החוף המזרחי בארצות הברית, מיום ראשון בערב ועד שישי בערב, כאשר רק תקלות ברמת חומרה 1 מקבלות מענה רצוף של 24 שעות ביממה שבעה ימים בשבוע. כדאי לכם לזכור שזמני המענה בדואל משתנים לפי רמת השירות שתרכשו, כך שאין כאן זמינות מקומית מיידית.

• מחירוןלא צוין באתר
• שפות נתמכותמעל 100 שפות
• שפת ממשקאנגלית בלבד