Was gefällt dir am besten StackHawk?
In keiner bestimmten Reihenfolge:
Ich liebe ihr UI/UX. Es stellt Probleme klar dar, sodass ich sie leicht an Junior-Programmierer weitergeben kann, um sie zu untersuchen und zu beheben, mit nichts weiter als einem Link zu einem Problem oder einem Scan. Es bietet gute Erklärungen für die Probleme, die es kennzeichnet, sowie Links zu Blogartikeln über die Probleme (manchmal spezifisch für den Umgang damit in unserem speziellen Framework). Es enthält auch detaillierte Anfragedaten, einschließlich eines cURL-Befehls zur Reproduktion des Problems, des Antwortkörpers und hebt "Beweise" hervor, die es gefunden hat, um zu beweisen, dass ein Problem kein Fehlalarm ist.
Ihre PDF-Berichte sind nicht nur eine Druckversion des Dashboards, sondern ein gut formatiertes, gut aussehendes, PDF-spezifisches Design, das ein gutes Ergebnis für Kunden ist oder einfach um unsere Sicherheitsprobleme zu einem bestimmten Zeitpunkt zu dokumentieren. Ihr Dashboard ist auch leicht zu verstehen.
Ich mag, dass im Gegensatz zu anderen statischen Analysetools, die Code scannen, um potenzielle Schwachstellen zu bewerten, StackHawk Ihre Website scannt, um tatsächlich Schwachstellen auszulösen und Beweise zu liefern. Durch diese Methode hat StackHawk XSS-Schwachstellen gefunden und vor anderen potenziellen Problemen gewarnt, die andere Tools nicht gefunden haben und die klar reproduzierbar waren. Auch ist diese Methode vertrauenswürdiger und hat viel weniger Fehlalarme produziert als die Codeanalyse. Unser Unternehmen verwendet immer noch statische Codeanalyse, da sie schnell und günstig ist (gut für kontinuierliche Integration), aber wir betrachten StackHawk jetzt als das definitive Tool für die programmatische Bewertung von Sicherheitslücken.
Ich mag auch ihr Preismodell. Die kostenlose Stufe ist wirklich nützlich, die Preisupgrades sind sinnvoll, und ich kann alles selbst erledigen. Mehrere Konkurrenten bieten ähnliche Scanprodukte an, kosten jedoch Tausende von Dollar pro Jahr und erfordern Gespräche mit einem Account-Manager zur Einrichtung. Ich habe mit ein paar Vertriebsmitarbeitern für andere Produkte gesprochen, und als gemeinnützige Organisation, die die Kosten niedrig halten möchte, haben sich zwei verschiedene Vertriebsmitarbeiter nie bei mir über ermäßigte Pläne zurückgemeldet (und ihre kostenlosen Pläne waren nur begrenzte Testversionen). Einen habe ich nie ausprobiert, weil das gesamte Produkt hinter einer Bezahlschranke war, was für größere Kunden in Ordnung ist, nehme ich an, aber für mich unzugänglich. Bewertung gesammelt von und auf G2.com gehostet.
Was gefällt Ihnen nicht? StackHawk?
Der einzige Nachteil von StackHawk bisher ist die Zeit, die ein Scan benötigt. Während die statische Code-Analyse nur Minuten oder sogar Sekunden dauern kann, wenn man sich auf die Dateien in einem bestimmten Änderungssatz konzentriert, benötigen die Scans von StackHawk Stunden, um abgeschlossen zu werden, und erfordern, dass wir entweder die Kapazität unseres Testservers erhöhen oder die Maschine eines Entwicklers dem Scan widmen. Langsame Scan-Zeiten sind in Ordnung, wenn wir uns auf die Sicherheit für eine bestimmte Bewertung oder vierteljährliche Überprüfung konzentrieren, aber wir können es nicht als Teil unserer kontinuierlichen Integrationspipeline "out of the box" verwenden. Sie haben zwar Dokumentationen zur Reduzierung der Scan-Zeiten durch Optimierung der betrachteten Routen, Parallelisierung bestimmter Bereiche der Website usw., aber wir müssten eine ganze Menge Infrastruktur einrichten, um dies zum Laufen zu bringen. Vielleicht eines Tages, aber es ist sicherlich nicht so einfach wie das Anschließen eines Code-Analyzers an Github.
Außerdem, wenn man ein Problem mit der Website gelöst hat, konnte ich keinen Weg finden, nur dieses eine Problem erneut zu überprüfen und den Scan-Bericht zu aktualisieren, da es keine (oder anscheinend keine) zentrale Liste von Problemen gibt. Stattdessen hat man eine Liste von Scans, und obwohl Scans zuvor zugewiesene/akzeptierte/ignorierte Probleme in neuen Scans als solche anzeigen, werden Scans als eigenständige Inseln dargestellt. Das bedeutet einfach, dass wir, um einen "sauberen" Bericht zu erhalten, einen völlig neuen Scan durchführen müssen, was Zeit kostet, es sei denn, wir verbringen auch Zeit damit, unsere Scan-Zeit zu optimieren. Bisher habe ich es einfach über Nacht laufen lassen, was meine aufgewendete Zeit minimiert, aber es wäre schön, nur ein Problem erneut zu überprüfen. Bewertung gesammelt von und auf G2.com gehostet.
