SAST & DAST
DevSecOps: sicurezza del codice con SAST e DAST
// Gli esami di laboratorio del tuo software
La Code Review DevSecOps combina l'analisi statica del codice (SAST) e il test dell'applicazione in esecuzione (DAST) per rilevare le vulnerabilità prima del rilascio in produzione.
- Primo passo
- Code Review
- Consegna
- entro 15 giorni lavorativi
- Segue
- Sicurezza in pipeline
Cosa ti consegno con la Code Review
- Le vulnerabilità confermate, senza falsi positivi
- L'ordine in cui conviene correggerle
- Mezz'ora per spiegarti i risultati
- Il preventivo per la Sicurezza in pipeline
Come lavoro
-
Step 01
Mi scrivi
Compili il form qui sotto con la tua email: entro un giorno lavorativo ti arriva un breve questionario sul tuo ambiente.
-
Step 02
Definiamo il perimetro
Leggo le tue risposte e, se serve, ci sentiamo per una breve call con il perimetro già chiaro. Se decidi di procedere, mi dai gli accessi.
-
Step 03
Ricevi il report
Entro 15 giorni lavorativi ti consegno il lavoro e in mezz'ora ti spiego cosa ho trovato, con il passo successivo già quotato.
Il percorso
Cosa succede dopo la Code Review
-
Diagnosi
Code Review
Consegna entro 15 giorni lavorativi dalla ricezione degli accessi.
-
Cura
Sicurezza in pipeline
Aggiungo alle tue pipeline i controlli su codice, dipendenze e secrets, così ogni rilascio deve superare un esame automatico.
-
Controlli periodici
Presidio sicurezza cloud
Una volta al mese ricontrollo il tuo ambiente e ti segnalo cosa è cambiato.
Come funziona il Presidio
Il preventivo per la cura lo trovi nel report, perché dipende da quello che emerge durante la diagnosi.
// Metodo
I framework su cui baso la diagnosi
Ogni conclusione del report nasce dal confronto con uno standard pubblico, così puoi verificarla.
Come uso ogni framework-
OWASP Top 10
L'elenco dei rischi più diffusi nelle applicazioni web, curato dalla OWASP Foundation.
Sito della OWASP Foundation -
OWASP ASVS
I requisiti di sicurezza verificabili per un'applicazione, su tre livelli di approfondimento.
Sito della OWASP Foundation -
OWASP SAMM
Il modello per misurare quanto la sicurezza fa parte del processo di sviluppo.
Sito di OWASP SAMM
// Quando ti serve
Quando il software cambia più in fretta dei controlli.
Ogni rilascio porta codice nuovo e nuove dipendenze, e basta un errore per aprire una falla.
La Code Review lo intercetta prima che arrivi ai tuoi utenti.
Domande frequenti
Domande su DevSecOps, SAST e DAST
Che differenza c'è tra SAST e DAST?
Il SAST analizza il codice senza eseguirlo e scova errori come input non validati o credenziali inserite nel codice. Il DAST mette alla prova l'applicazione mentre è in funzione e trova quello che può emergere solo durante l'esecuzione. Nella Code Review uso entrambe le tecniche.
La Code Review sostituisce un penetration test?
No. La Code Review permette di trovare le vulnerabilità nel codice e nell'app. Il penetration test è una simulazione di un attacco reale, ed è un servizio disponibile tramite partner.
Quanto codice rientra nella Code Review?
Un repository o un'applicazione fino a circa 15.000 righe, analizzati in modo statico e dinamico. La consegna è entro 15 giorni lavorativi dalla ricezione degli accessi.
Come si integra la sicurezza nelle pipeline CI/CD?
Aggiungo alle pipeline che usi già i controlli automatici su codice, dipendenze e secrets. Te li consegno funzionanti e documentati, e da quel momento ogni rilascio viene verificato in automatico.
Quanto costa la Code Review?
1.490 €, con consegna entro 15 giorni lavorativi dalla ricezione degli accessi. Per la Sicurezza in pipeline trovi un preventivo nel report.
Partiamo dalla Code Review
Lasciami la tua email ed entro un giorno lavorativo ti mando il questionario.
Uso il tuo indirizzo solo per risponderti. Niente newsletter, e non lo passo a nessuno.