Прокачиваем защиту сайтов — что реально помогает?
 

Если честно, у меня давно назревает вопрос по инструментам и подходам для работы с уязвимостями на сайтах и веб-приложениях. Кто как борется с этим зоопарком багов? У меня в практике часто получается такой расклад: сначала базовая проверка на классические дырки через автоматические сканеры (типа OWASP ZAP или Burp Suite free), а потом ручной анализ сложных мест, где автомат забуксовал. Но хочу понять, насколько это стандартная схема.

Есть ещё вариант, который часто продвигают — интеграция CI/CD с автоматическими тестами безопасности. Хорошо, но это больше для крупных проектов с DevOps. У меня же маленький портал — там изрядно помогает периодический аудит кода и библиотек, плюс внимательный мониторинг новых CVE по используемым фреймворкам.

Кстати, я заметил, что многие упускают момент документирования процесса и внедрения правил для снижения рисков. Просто прогоняют сканы, чиним, забываем. А потом через месяц снова ребёнок наделал ошибок.

Как у вас там с защитой и поиском дыр? Кто какие фишки использует, и хватает ли вам классических автоматов, или, может, есть крутые фреймворки или методики на уровне профи?