Jeden seznam toho, co opravit. Než release vyjde.
Skenery, pipeline a pentesty plní jeden registr na aplikaci. Řaďte opravy podle toho, co se skutečně zneužívá, pouštějte releasy přes brány podle pravidel, která jste sepsali, a držte SBOM ke každému releasu pro složku CRA.
Co to nahrazuje
- Šest skenerů, šest dashboardů a žádný společný seznam, co opravit nejdřív.
- Den releasu přijde dřív, než se někdo shodne, jestli ho otevřené kritické nálezy blokují.
- Regulátor chce SBOM; build server ho někde měl.
Co se změní
- Jedna priorita na nález z KEV a EPSS, s připojeným termínem opravy.
- Rozhodnutí brány cituje pravidlo za ním; výjimka nese datum konce.
- Snapshot SBOM ke každému releasu, exportovaný pro technickou dokumentaci CRA.
Co tady děláte
- 1Zaregistrujte každou aplikaci s její kritičností.
Každý projekt nese fázi životního cyklu, své brány a požadované testy — to, co čte revize releasu.
Projects - 2Stáhněte všechny skenery do jednoho registru.
Nálezy ze SCA, SAST, tajemství, kontejnerů, IaC, DAST a API přistávají po projektech, každý se svým zdrojem.
Findings - 3Řaďte opravy podle zneužívání, ne jen podle CVSS.
CVE se známým zneužitím a EPSS určují prioritu; každá priorita má vlastní termín opravy.
Risk posture - 4Pouštějte release přes bránu podle sepsaných pravidel.
Brána pustí, nebo zablokuje podle politiky; výjimka uvádí svého vlastníka a datum konce.
Release gates - 5Posílejte SBOM rovnou z pipeline.
CycloneDX nebo SPDX přichází nahráním nebo přes API klíč; snapshoty, VEX a export následují pro složku CRA.
SBOM - 6Veďte pentest vedle kódu, který testoval.
Rozsah, nálezy a opakované testy sedí u projektu, takže oprava se uzavírá na důkaz, ne na slib.
Pentesting
Kde role končí
Aplikace, nálezy, brány a pentesty řídíte vy. Registr rizik, compliance rámce a uživatelské účty zůstávají u těch, kdo je vlastní.
Spolupracuje s
ARCHBezpečnostní architektKaždý systém, jak opravdu běží. Každá vrstva má skóre.Nakreslete každý systém tak, jak opravdu běží, a pak ho čtěte proti osmi vrstvám obrany. Tenká vrstva, cesta s jedinou zdí a revize návrhu po termínu vyjdou najevo dřív, než je najde útočník nebo auditor.
INTELAnalytik zpravodajství o hrozbáchČtyřicet upozornění denně. Tři se vás týkají.Veřejné zdroje o hrozbách čtené proti vašim vlastním nálezům: které CVE jsou prokazatelně zneužívané, které používá ransomware, které jsou pravděpodobně na řadě. Pak útočné cesty od vstupního bodu k systémům, na kterých záleží nejvíc.
PENTESTPenetrační testerNálezy tam, kde se opravuje. Žádné PDF k ručnímu přepisu.Na pozvánku, pro jednu zakázku: přijměte pravidla testování, přečtěte si rozsah, zapisujte nálezy s důkazy a přetestujte opravy — přímo v pracovním prostoru klienta, v termínech a na adresách, které povolil.
Připraveni jít
za hranice zastaralého GRC?
14 dní zdarma. Bez platební karty. Cloud nebo on-premises.