Remediation at Scale: What High-Performing AppSec Teams Do Differently

Всем привет!

Команда Semgrep проанализировала то, насколько часто/быстро устраняются ИБ-дефекты. Для исследования была получена обратная связь от команд, которые суммарно разрабатывают тысячи репозиториев.

В итоге, Semgrep разделил результаты на 2 крупных блока – Leaders (15%) и Field (85%). В прилагаемом отчёте (~ 34 страницы) можно найти результаты исследования.

Из ключевых insights можно выделить:
🍭 Leaders устраняют в 2-3 раза больше ИБ-дефектов
🍭 Сканирование PR/MR «ускоряет» устранение в 9 раз (по сравнении со скоростью устранения ИБ-дефектов, которые найдены при сканировании кодовой базы)
🍭 Leaders пользуются бОльшим количеством функций доступных им инструментов
🍭 Анализ достижимости сильно меняет подход к расстановке приоритетов при анализе сработок SCA
🍭 Использование AI помогает в разметке и сокращении False Positive
🍭 Если ИБ-дефект «застрял» в backlog более чем на 90 дней, то вероятность его устранения стремится к 0

По каждому из описанных выше insights в отчёте приводится больше статистики и рассуждений, на основании которых сделан вывод.

Помимо этого, в отчёте еще очень-очень-очень много интересной и полезной информации о том, что (не) важно при работе с SAST и SCA-дефектами.

Рекомендуем!