Многие начинают строить AppSec с DefectDojo — это стандарт де-факто, пока уязвимостей сотни. Но когда счет идет на десятки и сотни тысяч, «бесплатный» инструмент превращается в черную дыру. Триаж превращается в бесконечный скроллинг, UI лагает, а ИБ видит дыры, но не может остановить деплой — код улетает в прод, как ни в чем не бывало.
В докладе честно разберем наш путь от open-source до коммерческой ASOC. Почему ручной триаж — это data overload без рычагов, и как мы выбирали систему, способную реально управлять безопасностью, а не просто складировать алерты.
О чем поговорим:
• Точка кипения: почему DefectDojo перестал тянуть нагрузку и превратился в «тормоз» процесса.
• Критерии: На что мы смотрели при выборе платного решения (AI-фильтрация, нативные Quality Gates и работающий Policy Engine) и т.д.
• Реальность против маркетинга: с какими проблемами пришлось столкнуться при миграции, и почему «интеграция за 5 минут» — это обычно миф.
• Власть над конвейером: как мы внедрили Quality Gates и заставили безопасность стать частью спринта.