Замена сканера
- Обследование и выбор сканеров
- Параллельный запуск и настройка правил
- Перенос разметки и порогов
- Переключение конвейеров
Цена — по запросу
Запросить расчёт
Переход
Замена Snyk и SonarQube без старта с нуля
Сменить сканер несложно. Сложно не потерять то, что команда накопила вокруг него: правила, пороги качества, разобранные срабатывания и принятые риски. Переносим это на отечественные AppSec.Wave и AppSec.Track или на открытые сканеры.
Разметка срабатываний сохраняется
Проверки в каждом merge request
Фиксированная цена
Задача
Сменить сканер просто — сложно не потерять разметку срабатываний, правила и пороги качества.
Что делаем
Запускаем новый сканер параллельно со старым, переносим правила, разметку и пороги.
Результат
Проверки в каждом merge request работают с первого дня, история решений сохранена.
Задача
Если лицензию Snyk или SonarQube продлить нельзя или невыгодно, первая мысль — поставить другой сканер. Через неделю команда тонет в тысячах «новых» срабатываний, которые на старом инструменте давно разобраны, а пороги качества в конвейере либо всё блокируют, либо ничего не ловят.
Мы делаем переход так, чтобы проверки в конвейере продолжали работать с первого дня, а история решений по срабатываниям не пропала.
На что переходим
SAST
Анализ кода
AppSec.Wave — отечественный статический анализатор. Или открытые анализаторы, если подходят под ваши языки.
SCA
Анализ зависимостей
AppSec.Track — анализ компонентов с открытым кодом и генерация SBOM. Или открытые сканеры зависимостей. Допуск новых компонентов в сборки →
ASPM
Сводная картина
AppSec.Hub сводит находки разных сканеров в одно место — по желанию.
Выбор зависит от языков, объёма кода и требований к сертифицированным средствам. Подбираем на обследовании. Продукты AppSec →
Что переносим
Что накоплено вокруг старого сканера и куда это переезжает.
Snyk / SonarQubeсейчас
AppSec или открытые сканерыв вашей инфраструктуре
Правила и профиливключённые проверки
Сопоставленные правилапробелы фиксируются явно
Пороги качестваблокировка merge request
Те же критерии блокировкив GitLab или AppSec.Code
Разобранные срабатыванияложное, принято, исправлено
Таблица разметкипо ней размечаем срабатывания в новом сканере
Исключения и рискипринятые решения
Исключения с обоснованиеми сроком пересмотра
Историяотчёты старого сканера
Архив отчётоввыгружен до отключения
Импорт разметки из других сканеров в документации AppSec.Wave и AppSec.Track не описан. Поэтому разобранные срабатывания выгружаем из старого сканера в таблицу и по ней размечаем совпадающие срабатывания в новом. Что не удалось сопоставить, отмечаем в таблице явно.
Как проходит переход
- Шаг 1 · 1–3 дня
Обследование
Языки, проекты, правила, пороги, объём разобранных срабатываний. Выбираем новые сканеры.
- Шаг 2
Параллельный запуск
Новый сканер работает рядом со старым на нескольких проектах. Сравниваем результаты, настраиваем правила.
- Шаг 3
Перенос и переключение
Переносим разметку и пороги, переключаем конвейеры всех проектов.
- Шаг 4
Передача
Документация, обучение команды, архив отчётов старого сканера.
Порядок всегда один. Сколько займёт каждый шаг, зависит от объёма: замеры на первом шаге задают цену и сроки.
Пакеты
Замена + конвейер
- Всё из пакета «Замена сканера»
- Динамический анализ, фаззинг, безопасная сборка
- Папка для аудитора
Цена — по запросу
О конвейере
Вопросы и ответы
Новый сканер найдёт то же самое?
Не всегда один в один: у разных анализаторов разные правила. Поэтому сначала запускаем их параллельно и показываем, что новый находит, а что нет, — до отключения старого.
Можно оставить бесплатную версию SonarQube?
Можно, если её возможностей хватает. Тогда добавим недостающие проверки — например, анализ зависимостей — рядом с ней.
Где будет код?
В вашей инфраструктуре. Сканеры устанавливаются на ваши серверы, код наружу не уходит.
Расскажите, что у вас сейчас
Какой сканер, сколько проектов и на каких языках, насколько глубоко он встроен в конвейеры. Ответим с планом и сроками.