SAST/DAST

Понимает базовые концепции SAST/DAST. Следует security guidelines. Распознаёт типовые уязвимости в коде.

Запускает SonarQube и Semgrep локально для статического анализа кода. Изучает отчёты SAST, классифицирует уязвимости по severity. Настраивает базовый DAST-скан OWASP ZAP против тестового приложения. Понимает разницу между SAST, DAST и IAST подходами к тестированию безопасности.

Понимает базовые концепции SAST/DAST. Следует security guidelines. Распознаёт типовые уязвимости в коде.

Настраивает и запускает SAST/DAST инструменты для выявления уязвимостей в коде приложений и работающих сервисах. Проводит security code review с использованием результатов статического анализа. Триажит результаты сканирования, устраняет false positive и отслеживает подтверждённые проблемы.

Интегрирует SonarQube и Semgrep в CI/CD пайплайны с quality gates, блокирующими merge при критических уязвимостях. Настраивает OWASP ZAP в режиме API-сканирования с OpenAPI-спецификацией. Пишет кастомные правила Semgrep для специфичных паттернов уязвимостей проекта.

Использует DAST-инструменты совместно с ручным penetration testing для обнаружения runtime-уязвимостей. Валидирует находки SAST через эксплуатацию для подтверждения реальных векторов атак. Интегрирует динамическое сканирование в workflow penetration testing для покрытия поверхности атак.

Проектирует security-решения с SAST/DAST. Проводит threat modeling. Внедряет security practices в SDLC. Менторит команду.

Разрабатывает централизованную платформу SAST/DAST для всех команд. Тюнит SonarQube quality profiles, минимизируя false positives до менее 10%. Внедряет IAST (Contrast Security) для runtime-анализа. Настраивает корреляцию результатов SAST и DAST для приоритизации уязвимостей.

Проектирует продвинутые стратегии SAST/DAST тестирования, комбинируя автоматическое сканирование с ручной эксплуатацией. Проводит threat modeling для выявления пробелов в покрытии сканеров. Встраивает SAST/DAST в security gates CI/CD с кастомными правилами. Менторит команду по интерпретации результатов.

Определяет стратегию SAST/DAST и стандарты выбора инструментов на уровне организации. Устанавливает политики сканирования, quality gates и SLA на исправление для команд разработки. Координирует реагирование на уязвимости при критических находках. Обучает инженеров эффективному внедрению SAST/DAST.

Определяет стратегию AST (Application Security Testing) с SonarQube Enterprise, Semgrep Pro, OWASP ZAP и Burp Suite. Управляет командой AppSec-инженеров. Строит метрики эффективности SAST/DAST: время обнаружения, false positive rate, coverage. Интегрирует результаты в Defect Dojo.

Определяет стратегию интеграции SAST/DAST в penetration testing для всех продуктов. Устанавливает политики валидации сканеров и стандарты разработки кастомных правил. Координирует offensive security, комбинируя автоматическое сканирование с ручным тестированием. Обучает pentest-инженеров продвинутому использованию SAST/DAST.

Определяет архитектуру SAST/DAST тестирования безопасности на уровне предприятия для всех платформ разработки. Формирует стратегию сканирования для multi-cloud и микросервисных окружений. Координирует работу с вендорами по возможностям инструментов и compliance. Продвигает лучшие практики SAST/DAST в индустрии.

Проектирует корпоративную архитектуру тестирования безопасности, объединяющую SAST, DAST, IAST, SCA и фаззинг в единый пайплайн. Определяет стандарты для десятков команд. Оценивает и внедряет инновационные подходы: AI-driven SAST, semantic code analysis, runtime protection.

Определяет стратегию offensive security на уровне предприятия, интегрируя SAST/DAST с ручным penetration testing. Формирует архитектуру security-тестирования для сложных распределённых систем. Координирует работу с вендорами и регуляторами по стандартам сканирования. Представляет организацию в offensive security community.