Выбор ответа Middle Secure SDLC, сканеры и пентест обновлено
Внедрение SAST без остановки разработки
Вопрос
SAST нашёл 3000 проблем в существующем коде. Как внедрить его в CI, чтобы не остановить разработку?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Зафиксировать текущие находки как baseline, блокировать только новые, старые разбирать. Baseline не даёт расти долгу и не останавливает команды.
Варианты ответа
- Зафиксировать текущие находки как baseline, блокировать только новые, старые разбиратьправильный ответ
- Блокировать сборку, пока команда не исправит все 3000 находок, чтобы долг не рос дальше
- Отключить блокировку совсем и смотреть сводный отчёт раз в квартал на встрече с AppSec
- Удалить правила, которые дают больше всего находок, и включить блокировку по остальным
Разбор
Baseline не даёт расти долгу и не останавливает команды. Блокировать на 3000 старых находок значит заставить отключить инструмент. Квартальный отчёт никто не читает. Удалять шумные правила без анализа можно потерять важные проверки: лучше настраивать их точность.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.
Ещё по теме «Secure SDLC, сканеры и пентест»
- Что сканеры находят плохо
- Security champions
- Просроченные находки по SLA
- CVSS
- Этапы пентеста
- Практики Secure SDLC по этапам
- Классы инструментов
- Этапы пентеста