Én liste med alt, der skal rettes. Før releasen går ud.
Scannere, pipelines og pentests fodrer ét register pr. applikation. Prioritér rettelser efter, hvad der faktisk udnyttes, lad release-gates følge regler, du har skrevet ned, og hold en SBOM pr. release til CRA-mappen.
Hvad det erstatter
- Seks scannere, seks dashboards og ingen samlet liste over, hvad der skal rettes først.
- Releasedagen kommer, før nogen er enige om, hvorvidt de åbne kritiske fund blokerer den.
- Tilsynsmyndigheden beder om en SBOM; buildserveren havde en et eller andet sted.
Hvad der ændrer sig
- Én prioritet pr. fund ud fra KEV og EPSS, med en frist for rettelse.
- En gate-beslutning henviser til reglen bag den; en undtagelse har en slutdato.
- Et SBOM-snapshot pr. release, eksporteret til CRA's tekniske dokumentation.
Hvad du gør her
- 1Registrér hver applikation med dens kritikalitet.
Hvert projekt har sin livscyklusfase, sine gates og de test, det kræver — det, en releasegennemgang læser.
Projects - 2Saml alle scannere i ét register.
Fund fra SCA, SAST, hemmeligheder, containere, IaC, DAST og API lander pr. projekt, hvert med sin kilde.
Findings - 3Prioritér rettelser efter udnyttelse, ikke kun CVSS.
Kendt udnyttede CVE'er og EPSS sætter prioriteten; hver prioritet har sin egen frist for rettelse.
Risk posture - 4Sæt releasen bag en gate med nedskrevne regler.
En gate godkender eller blokerer mod politikken; en undtagelse angiver sin ejer og sin slutdato.
Release gates - 5Før SBOM'er direkte ind fra pipelinen.
CycloneDX eller SPDX kommer via upload eller API-nøgle; snapshots, VEX og eksport følger til CRA-mappen.
SBOM - 6Kør pentesten ved siden af koden, den testede.
Scope, fund og gentest ligger på projektet, så en rettelse lukkes på bevis frem for et løfte.
Pentesting
Hvor rollen stopper
Applikationer, fund, gates og pentests er dine at drive. Risikoregistret, compliance-rammerne og brugerkontiene bliver hos dem, der ejer dem.
Arbejder sammen med
ARCHSikkerhedsarkitektHvert system, som det kører. Hvert lag, scoret.Tegn hvert system, som det faktisk kører, og læs det op imod otte forsvarslag. Det tynde lag, stien med én mur og den forsinkede designgennemgang viser sig, før en angriber eller en revisor finder dem.
INTELThreat intelligence-analytikerFyrre advarsler om dagen. Tre rammer dig.Offentlige trusselsfeeds holdt op mod dine egne fund: hvilke CVE'er der er kendt udnyttet, hvilke der bruges af ransomware, hvilke der sandsynligvis er de næste. Derefter angrebsstierne fra et indgangspunkt til de systemer, der betyder mest.
PENTESTPenetrationstesterFund der, hvor rettelsen sker. Ingen PDF at taste ind igen.På invitation, til én opgave: accepter reglerne for opgaven, læs afgrænsningen, registrér fund med bevis og gentest rettelserne — i kundens eget arbejdsrum, inden for de datoer og adresser, kunden tillod.
Klar til at komme
videre end klassisk GRC?
14 dages gratis prøve. Intet betalingskort. Cloud eller on-premises.