¿Qué es lo que más te gusta de StackHawk?
Sin ningún orden en particular:
Me encanta su UI/UX. Presenta los problemas de manera clara, donde puedo fácilmente dárselos a programadores junior para que investiguen y solucionen con nada más que un enlace a un problema o un escaneo. Proporciona buenas explicaciones para los problemas que señala, así como enlaces a artículos de blog sobre los problemas (a veces específicos para tratarlos en nuestro marco particular). También tiene datos de solicitud detallados, incluyendo un comando cURL para reproducir el problema, el cuerpo de la respuesta, y resalta la "evidencia" que encontró intentando demostrar que un problema no es un falso positivo.
Sus informes en PDF no son solo una versión impresa del panel, sino un diseño específico para PDF bien formateado y atractivo que es un buen entregable para clientes o simplemente para registrar nuestros problemas de seguridad en un momento particular. Su panel también es fácil de entender.
Me gusta que, a diferencia de otros analizadores estáticos que escanean el código para evaluar vulnerabilidades potenciales, StackHawk escanea tu sitio para realmente intentar desencadenar vulnerabilidades y producir evidencia. A través de este método, StackHawk encontró vulnerabilidades XSS y advirtió sobre otros problemas potenciales que otras herramientas no encontraron, y eran claramente reproducibles. Además, este método inspira más confianza y ha producido muchos menos falsos positivos que el análisis de código. Nuestra empresa todavía utiliza el análisis de código estático, ya que es rápido y barato (bueno para la integración continua), pero ahora consideramos a StackHawk la herramienta definitiva para la evaluación programática de vulnerabilidades de seguridad.
También me gusta su modelo de precios. El nivel gratuito es legítimamente útil, las actualizaciones de precios tienen sentido, y puedo hacerlo todo yo mismo. Varios competidores ofrecen productos de escaneo similares pero cuestan miles de dólares al año y requieren hablar con un gerente de cuentas para configurarlo. Hablé con un par de representantes de ventas de otros productos, y como una organización sin fines de lucro que busca mantener los costos bajos, dos representantes de ventas diferentes nunca me respondieron sobre planes con descuento (y sus planes gratuitos eran solo pruebas limitadas). Uno nunca lo intenté realmente porque todo el producto estaba detrás de un muro de pago, lo cual está bien para clientes más grandes, supongo, pero inaccesible para mí. Reseña recopilada por y alojada en G2.com.
¿Qué es lo que no te gusta de StackHawk?
La única desventaja de StackHawk hasta ahora es el tiempo que tarda un escaneo. Mientras que el análisis de código estático puede tomar solo minutos, o incluso segundos cuando se enfoca en los archivos de un conjunto de cambios particular, los escaneos de StackHawk tardan horas en completarse y requieren que aumentemos la capacidad de nuestro servidor de pruebas o dediquemos la máquina de un desarrollador al escaneo. El tiempo de escaneo lento está bien si nos enfocamos en la seguridad para una evaluación particular o revisión trimestral, pero no podemos usarlo como parte de nuestro pipeline de integración continua "tal cual". Tienen documentación sobre cómo reducir los tiempos de escaneo optimizando las rutas que analiza, paralelizando ciertas áreas del sitio, etc., pero tendríamos que configurar una buena cantidad de infraestructura para que esto funcione. Tal vez lo hagamos algún día, pero ciertamente no es tan fácil como simplemente conectar un analizador de código a Github.
Además, una vez que resuelves un problema con tu sitio, no pude encontrar una manera de volver a ejecutar solo ese problema y actualizar el informe de escaneo porque no hay (o no parece haber) una lista central de problemas. En su lugar, tienes una lista de escaneos, y aunque los escaneos muestran problemas previamente asignados/aceptados/ignorados como tales en nuevos escaneos, muestra los escaneos como islas propias. Esto solo significa que para obtener un informe "limpio" tenemos que ejecutar un escaneo completamente nuevo, lo cual lleva tiempo, a menos que también dediquemos tiempo a optimizar nuestro tiempo de escaneo. Hasta ahora, simplemente lo he dejado correr durante la noche, lo que minimiza mi tiempo invertido, pero volver a verificar solo un problema sería agradable. Reseña recopilada por y alojada en G2.com.
