Pour les équipes produit en sécurité et les organisations techniques qui développent des capacités d’analyse, étendent des scanners ou évaluent la qualité de leurs outils de test de sécurité.

Quand vous devez construire, étendre ou évaluer une capacité d’analyse de sécurité.

Ce que nous examinons

Définir l’objectif d’analyse, les technologies ciblées, les accès, les contraintes et les critères de recette.
Concevoir l’architecture convenue, ou implémenter et étendre les composants d’analyse, de détection ou de scan retenus.
Évaluer les capacités convenues sur des cibles représentatives, en documentant la couverture, les résultats et les limites.
Préparer l’intégration et la passation en fonction du fonctionnement de l’équipe et de ses besoins de maintenance.

Déroulement d’une mission

Envoyez un bref descriptif

Le produit, ce qui a changé, ce que vous devez savoir et pour quand. Un paragraphe suffit ; je réponds sous trois jours.

Recevez une proposition écrite

Périmètre, méthode, exclusions, livrables, prix et calendrier. La confidentialité, le NDA et les conditions de contre-audit sont fixées dans cette même proposition.

Suivez les travaux au fil de l’eau

Pour un audit, vous voyez les preuves et les priorités dès qu’elles apparaissent. Pour un développement, vous validez les jalons convenus.

Rapport et restitution

Vous recevez le rapport ou le livrable, puis une restitution avec votre équipe. Toute correction ou vérification complémentaire est convenue avec vous.

Je développe, donc mes correctifs s’intègrent à votre code.

J’ai dirigé des développements web et conçu un scanner DAST en partant de son architecture. Quand je recommande un correctif, j’ai déjà réfléchi à la façon dont votre équipe va l’implémenter et le tester.

Voir comment j’ai conçu Hendra

Questions avant de commencer

Développez-vous des outils de sécurité ?

Oui. Je conçois et développe des applications SAST et DAST. Une mission peut porter sur l’architecture, des composants de détection choisis, des extensions, l’intégration ou l’évaluation. La proposition définit les technologies ciblées et les livrables.

Qu’avez-vous déjà construit ?

Hendra est mon scanner DAST modulaire et contextuel, développé pendant ma recherche doctorale achevée à l’université ITMO. J’ai conçu son architecture centrale, l’identification des technologies, la planification des scans, la déduplication des requêtes, la revue des vulnérabilités et la méthode de benchmark.

Pouvez-vous étendre un outil existant ?

Oui, si son architecture, les accès et la licence permettent le travail convenu. Nous établissons d’abord les points d’extension, le comportement attendu et les tests de la capacité visée.

Quels langages un projet SAST peut-il couvrir ?

La couverture des langages est définie pour chaque projet. Avant de convenir du développement, nous examinons le langage cible, l’infrastructure d’analyse disponible, les motifs de code et les cas d’évaluation. La couverture et les limites sont documentées.

Pouvez-vous évaluer un outil avant que nous investissions dans un développement ?

Oui. Une évaluation cadrée peut examiner le comportement de détection, la couverture utile, l’effort de tri et les contraintes d’intégration. Les benchmarks de laboratoire publiés donnent du contexte ; l’évaluation nécessite des cibles et des critères pertinents pour votre équipe.

Sous quel délai répondez-vous ?

Sous trois jours au plus. Vous recevez des questions sur votre produit ou les grandes lignes d’une proposition.

Combien cela coûte-t-il ?

Les tarifs publiés sont des prix de départ. Le prix final dépend du périmètre et de la complexité technique ; il est fixé dans la proposition écrite avant le démarrage.

Combien de temps cela prend-il, et quand pouvez-vous commencer ?

La durée et la date de démarrage dépendent du périmètre, de la complexité technique et de ma charge de travail. La proposition indique les dates.

Pouvons-nous travailler sous NDA ?

Oui. Les conditions de confidentialité, y compris un NDA si vous en avez besoin, sont fixées dans la proposition avant que vous ne partagiez du code, des identifiants ou des vulnérabilités.

Un contre-audit est-il prévu ?

Le contre-audit est convenu pour chaque mission dans la proposition : quelles vulnérabilités, quelle version et dans quel délai.

Travaillez-vous avec des agences ?

Oui. Les agences peuvent faire appel à moi pour le projet d’un client. Les conditions de livraison, y compris les rapports en marque blanche, sont fixées au cas par cas dans la proposition.

Développement d’outils de sécurité et ingénierie SAST/DAST