适合正在构建分析能力、扩展扫描器或评估安全测试工具质量的安全产品团队和工程组织。
当您需要构建、扩展或评估某项安全分析能力时。
测试内容
- 明确分析目标、目标技术、访问权限、约束条件和验收标准。
- 设计约定的架构，或实现并扩展选定的分析、检测或扫描组件。
- 在有代表性的目标上评估约定的能力，记录覆盖范围、检测结果和局限。
- 结合团队的工作流程和维护需求，规划集成与交接。
合作流程
发送简要需求
说明产品情况、近期变更、您想确认的问题以及时间要求。一段话即可，我会在三天内回复。
获取书面方案
方案写明范围、方法、排除项、交付物、价格和日期。保密条款、NDA 和复测安排也在同一份方案中约定。
全程了解工作进展
安全评估期间，证据和优先级一经确认即同步给您；开发项目则按约定的里程碑供您审阅。
报告与结果讲解
您将收到报告或交付成果，并与您的团队进行一次结果讲解。后续的修复或验证工作另行与您商定。
我本身做开发，修复方案贴合您的代码。
我曾主导 Web 开发，并从架构开始设计了一款 DAST 扫描器。在提出修复建议时，我已经考虑过您的团队将如何实现和测试它。
了解我如何打造 Hendra开始前的常见问题
您开发安全工具吗？
是的。我设计并开发 SAST 和 DAST 应用。合作可以涵盖架构、特定检测组件、扩展、集成或效果评估。方案会明确目标技术和交付内容。
您开发过什么？
Hendra 是我在 ITMO 大学完成博士研究期间开发的模块化、上下文感知 DAST 扫描器。我设计了它的核心架构、技术识别、扫描规划、请求去重、发现审查以及基准测试方法。
您能扩展现有工具吗？
可以，前提是其架构、访问权限和许可证允许约定的工作。我们会先确定扩展点、所需行为以及目标能力的测试。
SAST 项目可以覆盖哪些语言？
语言覆盖范围按项目确定。在约定开发之前，我们会审查目标语言、现有的分析基础设施、代码模式和评估用例。覆盖范围和局限都会形成文档。
在投入开发之前，您能先评估一款工具吗？
可以。范围明确的评估可以检查检测行为、有效覆盖率、分诊工作量和集成限制。已发布的实验室基准测试可作参考；评估本身需要与您的团队相关的目标和标准。
您多快会回复？
最迟三天内回复。您会收到关于产品的问题，或者一份方案大纲。
费用是多少？
公布的价格为起步价。最终价格取决于范围和技术复杂度，并在开始前写入书面方案。
需要多长时间？什么时候可以开始？
周期和开始日期取决于范围、技术复杂度以及我当前的工作安排。方案中会写明日期。
可以签署 NDA 吗？
可以。在您分享代码、凭据或漏洞发现之前，保密条款（包括您需要的 NDA）会在方案中约定。
包含复测吗？
复测在每次合作的方案中单独约定：针对哪些发现、哪个版本以及时间窗口。
您与服务公司合作吗？
合作。服务公司可以邀请我参与其客户项目。交付条款（包括白标报告）在方案中逐案约定。