O que você mais gosta StackHawk?
Sem uma ordem específica:
Adoro a UI/UX deles. Apresenta os problemas de forma clara, onde posso facilmente entregá-los a programadores juniores para investigar e corrigir com nada mais do que um link para um problema ou uma varredura. Fornece boas explicações para os problemas que sinaliza, bem como links para artigos de blog sobre os problemas (às vezes específicos para lidar com isso em nosso framework particular). Também possui dados de solicitação detalhados, incluindo um comando cURL para reproduzir o problema, o corpo da resposta e destaca "evidências" que encontrou tentando provar que um problema não é um falso positivo.
Seus relatórios em PDF não são apenas uma versão impressa do painel, mas um design específico para PDF bem formatado e atraente, que é um bom entregável para clientes ou apenas para registrar nossos problemas de segurança em um determinado momento. Seu painel também é fácil de entender.
Gosto que, ao contrário de outros analisadores estáticos que escaneiam o código para avaliar vulnerabilidades potenciais, o StackHawk escaneia seu site para realmente tentar desencadear vulnerabilidades e produzir evidências. Através deste método, o StackHawk encontrou vulnerabilidades XSS e alertou sobre outros problemas potenciais que outras ferramentas não encontraram, e eram claramente reproduzíveis. Além disso, este método é mais inspirador de confiança e produziu muito menos falsos positivos do que a análise de código. Nossa empresa ainda usa análise de código estático, pois é rápida e barata (boa para integração contínua), mas agora consideramos o StackHawk a ferramenta definitiva para avaliação programática de vulnerabilidades de segurança.
Também gosto do modelo de preços deles. O nível gratuito é legitimamente útil, os upgrades de preços fazem sentido, e posso fazer tudo sozinho. Vários concorrentes oferecem produtos de varredura semelhantes, mas custam milhares de dólares por ano e exigem falar com um gerente de contas para configurar. Falei com alguns representantes de vendas de outros produtos, e como uma organização sem fins lucrativos buscando manter os custos baixos, dois representantes de vendas diferentes nunca retornaram sobre planos com desconto (e seus planos gratuitos eram apenas testes limitados). Um eu nunca realmente tentei porque o produto inteiro estava bloqueado por paywall, o que é bom para clientes maiores, presumo, mas inacessível para mim. Análise coletada por e hospedada no G2.com.
O que você não gosta StackHawk?
A única desvantagem do StackHawk até agora é o tempo que uma varredura leva. Enquanto a análise de código estático pode levar apenas minutos, ou até segundos quando se concentra nos arquivos de um conjunto de alterações específico, as varreduras do StackHawk levam horas para serem concluídas e exigem que aumentemos a capacidade do nosso servidor de teste ou dediquemos a máquina de um desenvolvedor para a varredura. O tempo de varredura lento é aceitável se estivermos focados na segurança para uma avaliação específica ou revisão trimestral, mas não podemos usá-lo como parte do nosso pipeline de integração contínua "pronto para uso". Eles têm documentação sobre como reduzir os tempos de varredura otimizando as rotas que analisa, paralelizando certas áreas do site, etc., mas teríamos que configurar uma boa quantidade de infraestrutura para fazer isso funcionar. Talvez façamos isso algum dia, mas certamente não é tão fácil quanto apenas conectar um analisador de código ao Github.
Além disso, uma vez que você resolve um problema com seu site, não consegui encontrar uma maneira de executar novamente apenas esse problema e atualizar o relatório de varredura porque não há (ou não parece haver) uma lista central de problemas. Em vez disso, você tem uma lista de varreduras, e embora as varreduras mostrem problemas previamente atribuídos/aceitos/ignorados como tal em novas varreduras, elas exibem as varreduras como ilhas próprias. Isso significa apenas que, para obter um relatório "limpo", temos que executar uma varredura completamente nova, o que leva tempo, a menos que também gastemos tempo otimizando nosso tempo de varredura. Até agora, eu apenas deixei rodar durante a noite, o que minimiza meu tempo gasto, mas re-verificar apenas um problema seria bom. Análise coletada por e hospedada no G2.com.
