Managed Code Review
การติดตั้ง static analysis ส่วนใหญ่ตายตั้งแต่สแกนรอบแรก เพราะเครื่องมือรายงานปัญหาออกมาหมื่นรายการแล้วทีมพัฒนาก็เลิกอ่าน เรารับงานครึ่งที่เป็นการส่งมอบ ทั้งต่อการสแกนเข้า pipeline จูน rule set ให้เข้ากับ stack ที่ใช้จริง และ triage ผลลัพธ์ให้เหลือเฉพาะสิ่งที่คุ้มกับเวลาของนักพัฒนา พร้อมวิธีแก้เขียนกำกับไว้ข้าง ๆ
$1,425USDต่อ repository
ราคา list $1,900 — ราคาที่ลูกค้าของคุณจ่าย ส่วนต่างเป็นของคุณ · ถูกกว่าราคา list 25%
- คิดราคาตาม
- ต่อ repository
- ส่งมอบในรูปแบบ
- แบรนด์และเทมเพลตของคุณ
- สิทธิ์เข้าถึงระบบลูกค้า
- เท่าที่จำเป็น ลูกค้าเป็นผู้อนุมัติ
กำหนดขอบเขตไว้ตั้งแต่ก่อนคุณเสนอราคา ไม่ใช่หลังปิดดีลไปแล้ว
ต่อการสแกนเข้ากับ pipeline ที่ลูกค้าใช้อยู่แล้ว ไม่ว่าจะเป็น GitHub Actions, GitLab CI, Azure DevOps หรือ Jenkins ทุก merge request จึงได้คำตัดสิน ไม่ใช่ได้ไฟล์ PDF เดือนละครั้ง
จูน rule set แยกตามภาษาและ framework และปิด rule ที่ทีมไม่มีวันแก้ทิ้งไปเลย ดีกว่าปล่อยค้างไว้ให้ทุกคนเรียนรู้ที่จะมองข้าม
ทุก finding ที่รายงานผ่านการ triage โดยวิศวกร พร้อมระบุชัดว่าโจมตีถึงได้หรือไม่ คือเข้าถึงได้ เข้าถึงไม่ได้ หรือรอการตัดสินใจจากฝั่งคุณ
แยก finding เรื่อง dependency และ secret ที่หลุดอยู่ในโค้ด ออกจาก finding ในโค้ดเอง เพราะคนละเจ้าของ คนละความเร่งด่วน และคนละวิธีแก้
คำแนะนำการแก้เขียนอ้างอิงเส้นทางโค้ดจริงใน repository ไม่ใช่แปะลิงก์หน้าอธิบาย CWE
ทำงานภายใน SonarQube หรือเครื่องมือเทียบเท่าที่ลูกค้ามี license อยู่แล้ว ประวัติ finding จึงอยู่ในระบบของเขาและยังอยู่ต่อแม้เราถอนตัวออกไป
คุณเสนอราคา เราปฏิบัติงาน คุณส่งมอบ
ราคาที่คุณจ่ายคือราคา list ที่ประกาศไว้ ลบ 25% ทุกบรรทัดในแค็ตตาล็อก ลูกค้าจ่ายเท่าไรคุณเป็นคนกำหนด ส่วนต่างเป็นของคุณ มาร์จิ้นจึงนิ่งตั้งแต่ก่อนใบเสนอราคาจะออกจากออฟฟิศ
วิศวกรของเราลงมือทำจากกรุงเทพฯ ตามเวลา UTC+7 ตาม methodology ที่เขียนไว้เป็นเอกสาร ไม่ใช่คิดขึ้นใหม่เป็นรายลูกค้า และวิศวกรอาวุโสอ่านผลทุกชิ้นก่อนออกจากมือเรา เพราะคนที่ต้องไปยืนอธิบายคือคุณ
ผลการตรวจ รายงาน และการ escalate ส่งถึงคุณในเทมเพลตของคุณ พร้อมโลโก้ของคุณ ลูกค้าคุยกับคุณ และชื่อของเราไม่อยู่บน ticket
สิ่งที่พาร์ทเนอร์ตรวจก่อนใส่บริการนี้ลงใน price list ของตัวเอง
ต้องส่ง source code ของลูกค้าให้คุณไหม?
โดยทั่วไปไม่ต้อง รูปแบบที่เราแนะนำคือให้การสแกนรันอยู่ใน pipeline ของลูกค้าเอง แล้วเราทำงานจากตัว finding และโค้ดเฉพาะส่วนที่เกี่ยวข้อง หากงานตรวจเชิงลึกจำเป็นต้องเข้าถึง repository จริง ๆ สิทธิ์นั้นคุณเป็นผู้ให้ จำกัดเฉพาะ repository ที่ระบุ และมีกำหนดเวลาสิ้นสุด
รองรับภาษาอะไรบ้าง?
Stack ที่เราทำงานด้วยเป็นประจำ ได้แก่ Java, C#, JavaScript และ TypeScript, Python, PHP, Go รวมถึงงาน mobile ทั้ง Kotlin และ Swift ถ้า stack ของลูกค้าอยู่นอกรายการนี้ เราจะบอกคุณก่อนที่คุณจะขาย ไม่ใช่บอกทีหลัง
เหมือนกับ penetration test ไหม?
ไม่เหมือน Code review หาช่องโหว่ในซอร์สโค้ดก่อนที่มันจะขึ้นระบบ ส่วน penetration test พิสูจน์ว่าสิ่งที่ขึ้นระบบไปแล้วถูกโจมตีได้จริงแค่ไหน สำหรับลูกค้าที่พัฒนาซอฟต์แวร์เอง ทั้งสองอย่างอยู่คนละจุดของ release cycle และมักขายเป็นสองรายการ
ถ้าลูกค้ายังไม่มี CI pipeline เลยล่ะ?
งานช่วงแรกจะหมดไปกับการสร้าง pipeline ให้พอรันสแกนได้ทุก merge และเราระบุส่วนนี้ไว้ในขอบเขตงานอย่างเปิดเผย ไม่ใช่แกล้งทำเป็นว่าเครื่องมือจะเสียบเข้ากับความว่างเปล่าได้ เพราะนี่คือส่วนที่ตัดสินว่างานที่เหลือจะมีค่าหรือไม่
License ของ SonarQube เป็นของใคร?
ของลูกค้าหรือของคุณ เราไม่จำเป็นต้องเป็นเจ้าของ และไม่ได้ขาย license พ่วงมากับบริการนี้ เราเข้าไปทำงานใน instance ที่คุณชี้ให้ และประวัติ finding ยังอยู่ที่เดิม
คิดค่าบริการอย่างไร?
คิดต่อ repository ตามอัตราในหน้าราคา การต่อเข้า pipeline และการจูน rule set รวมอยู่ในอัตรานั้นแล้ว ลูกค้าที่มีหลาย repository ก็นับเป็นหลายหน่วย ควรนับให้ครบก่อนเสนอราคา
เลือกลูกค้ามาหนึ่งราย เราจะรันให้ 60 วัน
เลือกลูกค้าที่คุณดูแลอยู่แล้วมาหนึ่งราย เราจะส่งมอบ Managed Exposure บนโดเมนของเขาเป็นเวลาสองเดือน ในเทมเพลตของคุณ โดยไม่มีค่าใช้จ่าย — คุณจะได้เห็นของจริงที่ลูกค้าของคุณจะได้รับ ก่อนเซ็นอะไรทั้งสิ้น
สมัครเป็นพาร์ทเนอร์