Для команд продуктов безопасности и разработчиков, которые создают возможности анализа, расширяют сканеры или оценивают качество инструментов проверки.

Когда нужно создать, расширить или оценить инструмент анализа безопасности.

Что проверяем

Определить задачу анализа, целевые технологии, доступы, ограничения и критерии приёмки.
Спроектировать согласованную архитектуру или реализовать и расширить выбранные компоненты анализа, обнаружения или сканирования.
Оценить согласованные возможности на подходящих целях, описать покрытие, результаты и ограничения.
Подготовить интеграцию и передачу результатов с учётом процессов команды и дальнейшего сопровождения.

Понятный старт. Полезный результат.

Расскажите о задаче

Опишите продукт, стек, цель и срок. Короткого обзора достаточно для начала разговора.

Согласуем работу

До начала получите письменный объём, результаты, критерии приёмки, стоимость и график.

Обсуждаем промежуточные результаты

При проверке разбираем доказательства и приоритеты. При разработке проверяем согласованные этапы реализации.

Используйте результат

Получите технический разбор и материалы для команды. Согласуем дальнейшую реализацию или проверку, если они нужны.

Могу разработать систему, которая решает задачу.

Моя работа объединяет архитектуру ПО, реализацию и исследования безопасности. Я спроектировал и разработал контекстную архитектуру сканирования Hendra. Этот опыт полезен, когда задача требует не только исследования, но и разработки.

Как я разработал Hendra

Вопросы перед началом

Вы разрабатываете инструменты безопасности?

Да. Я проектирую и разрабатываю SAST- и DAST-приложения. Проект может включать архитектуру, отдельные компоненты обнаружения, расширения, интеграцию или оценку. Целевые технологии и результаты фиксируем в предложении.

Что вы уже разработали?

Hendra — мой модульный контекстно-зависимый DAST-сканер, созданный в рамках завершённого исследовательского проекта в аспирантуре ИТМО. Я спроектировал его основную архитектуру, распознавание технологий, планирование проверок, дедупликацию запросов, оценку находок и методику сравнения.

Можно ли расширить существующий инструмент?

Да, если его архитектура, доступы и лицензирование позволяют согласованные работы. Сначала определим точки расширения, требуемое поведение и тесты для выбранной возможности.

Какие языки может охватывать SAST-проект?

Поддержку языков определяем для каждого проекта. До согласования разработки изучим целевой язык, доступные средства анализа, проверяемые шаблоны кода и примеры для оценки. Покрытие и ограничения будут документированы.

Можно ли оценить инструмент до вложений в разработку?

Да. Целевая оценка может охватывать обнаружение, полезное покрытие, трудозатраты на разбор находок и ограничения интеграции. Опубликованные лабораторные тесты дают контекст; для вашей команды нужны соответствующие цели и критерии.

Разработка SAST/DAST и инструментов безопасности