Avaliações e Detalhes do Produto DryRun Security

Muito fácil de configurar e possui permissões do Github, o que me faz me preocupar menos com o que as pessoas têm permissão. Esta ferramenta SAST é de ponta e utiliza IA de maneira adequada, permitindo que conectemos e usemos a ferramenta no repositório e obtenhamos resultados consistentemente nos repositórios que nos preocupam. Conversando com a equipe de segurança + equipe de desenvolvimento, podemos ver que ela oferece valor que outras ferramentas SAST não ofereceram, mas também não é barulhenta e é altamente precisa, permitindo encontrar bugs muito críticos que foram perdidos no passado. Análise coletada por e hospedada no G2.com.

Nada de mais. Tive pequenos problemas com a falta de recursos comuns do SAST (descarte, comentários longos em PR), mas a equipe do Dry Run realmente se destaca e leva em consideração o feedback dos clientes para melhorar consistentemente e fazer o produto atender ao máximo possível o cliente. Análise coletada por e hospedada no G2.com.

Usamos ferramentas SAST tradicionais, mas elas dependem principalmente de análise estática baseada em regras. A DryRun Security, por outro lado, foca em entender a intenção do código e o fluxo lógico, o que a torna eficaz na identificação de falhas de autorização, autorização de nível de objeto quebrada, referência direta a objetos insegura e lógica de negócios insegura. À medida que assistentes de IA, como ferramentas baseadas no Cursor ou ChatGPT, se tornam mais amplamente adotados, enfrentamos novos riscos provenientes de código criado por IA. A DryRun Security nos ajuda a focar especificamente nas falhas lógicas que podem aparecer em trechos de código gerados por IA — problemas que os scanners tradicionais muitas vezes não detectam. Análise coletada por e hospedada no G2.com.

Isso não é necessariamente sobre a funcionalidade do DryRun em si, mas seria ideal ter o DryRun Security disponível como uma oferta no Marketplace do provedor de nuvem que usamos. Isso tornaria a integração, renovação e onboarding mais suaves e fáceis no geral. Análise coletada por e hospedada no G2.com.

A DryRun Security me dá uma visibilidade de alto sinal nas mudanças que realmente importam. Os analisadores prontos para uso me ajudam a identificar rapidamente comportamentos inesperados ou arriscados em pull requests sem precisar vasculhar tudo manualmente. Tornou-se uma maneira prática de escalar a revisão de AppSec quando o volume de PR é alto—especialmente para capturar casos extremos que poderiam criar um impacto operacional ou de conformidade real.

Também aprecio a rapidez com que a equipe está iterando: eles estão regularmente adicionando funcionalidades significativas, melhorando o tratamento de falsos positivos e se comportando como líderes de pensamento no espaço de AppSec, em vez de "apenas mais um scanner". Seu impulso contínuo em direção às certificações GRC é um forte indicador de que estão construindo para organizações sérias, não para implantações de hobby.

Instalá-lo foi MUITO simples. Não precisávamos ajustar muito, mas uma vez que começamos, ficou ainda melhor!

Se os cidadãos de Troia tivessem usado a DryRun Security, os gregos nunca teriam conseguido entrar. Análise coletada por e hospedada no G2.com.

Eu não tenho muitas aversões. Se eu tivesse que escolher uma, seria que eu adoraria ver ainda mais investimento na experiência do desenvolvedor e no ajuste do fluxo de trabalho diário—tornando-o uma ferramenta que os desenvolvedores queiram usar, não uma que a segurança tenha que defender continuamente. Já é valiosa, mas aumentar o apelo para os desenvolvedores (UX, mensagens em PRs, contexto de "por que isso importa", adoção mais suave) a tornaria ainda mais atraente. Análise coletada por e hospedada no G2.com.

O novo recurso Deep Scan, que realiza uma revisão abrangente do nosso aplicativo, foi incrivelmente útil para identificar problemas em um aplicativo legado com milhões de linhas de código. Ao longo dos mais de 20 anos de vida útil deste aplicativo, tivemos várias auditorias e revisões de terceiros. A IA do DryRun teve uma melhor compreensão da intenção de negócios e da estrutura geral do código do que a maioria dos auditores anteriores. Eu esperava uma enxurrada de achados, a maioria dos quais seriam falsos positivos ou questões irrelevantes. No entanto, o relatório listou cerca de 20 itens para verificar, dos quais apenas um era um falso positivo completo. Ainda estamos ajustando o mecanismo para nossos usos, mas as revisões de PR têm sido úteis e perspicazes. Análise coletada por e hospedada no G2.com.

A interface deles pode ser um pouco lenta, especialmente quando há muitos repositórios GitLab vinculados. Está bastante claro que eles têm dedicado a maior parte do tempo aos motores de varredura, e a interface foi uma prioridade menor. No entanto, isso parece estar melhorando, já que a interface melhorou. Idealmente, você não deveria precisar usá-la muito uma vez que esteja funcionando; você pode simplesmente deixá-la trabalhar diretamente com seu repositório. Análise coletada por e hospedada no G2.com.

O uso de LLMs pelo DryRun e a inclusão de contexto sobre a aplicação fazem com que ele tenha um desempenho muito melhor do que as ferramentas SAST tradicionais. Ele é capaz de encontrar vulnerabilidades de "lógica de negócios" que os scanners SAST legados simplesmente não conseguem encontrar e caracteriza melhor todos os seus resultados com base no contexto da aplicação que ele absorve. Análise coletada por e hospedada no G2.com.

Até recentemente, você só podia fazer verificações no nível de pull request. Recentemente, eles adicionaram a capacidade de fazer verificações de repositório completo, então estou animado para ver como essa capacidade evolui. Análise coletada por e hospedada no G2.com.

Eu uso isso todos os dias. Revisamos de 5 a 50 PRs. Mais em um bom dia. Usamos qualquer um dos agentes de revisão de código, mas o DryRun é aquele em que especificamente confiamos para revisar a segurança do código. Análise coletada por e hospedada no G2.com.

Até recentemente, só podíamos usá-lo em uma base de PR por PR. Eles adicionaram uma revisão de repositório (ou melhor, uma revisão de todo o código), mas ainda não tive a chance de testá-la. Análise coletada por e hospedada no G2.com.

A equipe da DryRun Security tem sido maravilhosa para trabalhar, e a tecnologia é fácil de integrar. Ela fornece detecções valiosas e em constante melhoria e nos permite acelerar o desenvolvimento de código seguro, especialmente na era da IA acelerando a criação de código. Eles estão realmente inovando com detecções agenticas em software, não apenas correspondência de padrões estáticos como os fornecedores tradicionais de SAST, e podem fazer análises multidimensionais em uma ampla gama de contextos. Isso ajuda a detectar problemas que seriam impossíveis de identificar com a tecnologia existente e torna nosso código ainda mais seguro contra ameaças complexas e emergentes, como injeção de prompt ou IDOR. Além disso, a integração com a plataforma de proteção em tempo de execução da Impart Security é perfeita, proporcionando uma solução nativa de IA de ponta a ponta. A configuração inicial da DryRun Security foi muito fácil. Análise coletada por e hospedada no G2.com.

Eu adoraria ver o DryRun Security escanear mais do código, não apenas os pull requests. Acredito que eles lançaram recentemente um novo recurso chamado deepscan, e eu gostaria que a abordagem do DryRun fosse usada para avaliar todo o repositório, para que eu possa ter uma noção não apenas do novo código, mas também da segurança do código existente. Análise coletada por e hospedada no G2.com.

Eu uso o DryRun Security para identificar problemas para revisão ou melhoria de segurança, já que nossa equipe de engenharia comete muito código. Isso me ajuda a estar ciente de mudanças arriscadas na base de código e auxilia nas revisões de segurança do código. Minha coisa favorita sobre o DryRun é que ele me permite focar em outras tarefas em vez de revisar mudanças de código e PRs o tempo todo. Aprecio que a equipe deles seja bastante rápida em fazer mudanças solicitadas de recursos e ouça o feedback dos clientes. A configuração inicial foi muito fácil e tranquila, e realmente não há nada como isso no momento — é ótimo. Análise coletada por e hospedada no G2.com.

Eu gostaria que houvesse mais opções de personalização para ajustar os analisadores, mas isso parece estar em andamento. Análise coletada por e hospedada no G2.com.

A configuração é um processo único, e quaisquer novos repositórios são escaneados automaticamente. As descobertas aparecem como comentários em PR, o que facilita para os desenvolvedores notarem, revisarem e agirem.

O Deepscan parece ser um avanço para estabelecer uma linha de base para padrões de segurança de repositórios e para descobrir problemas em repositórios legados. Análise coletada por e hospedada no G2.com.

O portal de gestão ainda é lento de usar, e o tempo de carregamento é visivelmente lento pelos padrões modernos. Análise coletada por e hospedada no G2.com.

A DryRun Security integra-se facilmente em nosso pipeline de construção existente, de modo que as verificações ocorram automaticamente e nossos desenvolvedores recebam feedback quase em tempo real sobre vulnerabilidades em seu código. Análise coletada por e hospedada no G2.com.

Não há nada que eu realmente não goste na DryRun Security. Mesmo em situações em que encontrei o que acreditava ser um bug no produto, eles foram muito rápidos em investigar e voltar para mim com uma solução. Análise coletada por e hospedada no G2.com.