[szmichal]

#programista15k #programowanie

Czego się teraz używa do statycznej analizy kodu w CI/CD? Projekty głównie .NET, Terraform i Python. SonarQube kał czy szał? Może być płatny tool.

[cherry_tomato]

@szmichal: Klocwork.

[Ksiega_dusz]

@cherry_tomato: brzmi trochę jak stawianie klocka xDD

[markaron]

@szmichal: U nas jest SQ, dobrze działa. Jak masz jakieś niestandardowe wymagania to trzeba poświęcić trochę czasu na konfigurację reguł, ale jak już to raz zrobisz to zapominasz o konfiguracji i po prostu robisz swoje. Konfiguracja z GH też bajka. Klik, klik, jako tako i fajrant.

[szmichal]

@markaron: używacie tieru Team czy Enterprise? W tym drugim są sec reporty i to mnie ciekawi, jak to działa

[markaron]

@szmichal: Enterprise. Normalnie działa. Wchodzisz sobie w zakładkę, wybierasz typ raportu i dostajesz listę wykrytych podatności zgodnych ze standardem takim jak OWASP, TOP 25, DISA, itp

[JamesJoyce]

CI/CD?

@szmichal: GitLab chyba często widziałem. A w AI MLFlow, Kubeflow czy Github Actions

[szmichal]

@markaron: @cherry_tomato bardziej skręcimy w stronę security. Qonada od jet brains (nowy produkt) daje nielimitowane skanowanie kodu za 15eur od deva a sonar qube krzyczy 30k usd/rok za max 2mln linii kodu. Potem jest oczywiście drożej. Postanowiliśmy że skręcamy bardziej w security i będzie to decyzja pomiędzy checkmarx (ok 20k/rok), Cycode (45k/rok) albo Wiz Cloud (jeszcze nie dostaliśmy oferty). Sonar za te cene nie oferuje nic ekstra czego nie