Yksi lista korjattavista. Ennen kuin julkaisu lähtee.
Skannerit, putket ja pentestit syöttävät yhtä rekisteriä sovellusta kohden. Järjestä korjaukset sen mukaan, mitä oikeasti hyödynnetään, sido julkaisuportit kirjaamiisi sääntöihin ja pidä jokaisesta julkaisusta SBOM CRA-kansiota varten.
Mitä tämä korvaa
- Kuusi skanneria, kuusi koontinäkymää eikä yhtään listaa siitä, mitä korjata ensin.
- Julkaisupäivä koittaa ennen kuin kukaan on yhtä mieltä, estävätkö avoimet kriittiset havainnot sen.
- Viranomainen pyytää SBOM:ia; build-palvelimella sellainen oli jossakin.
Mikä muuttuu
- Yksi prioriteetti per havainto KEV:stä ja EPSS:stä, korjauksen määräpäivä mukana.
- Porttipäätös viittaa taustalla olevaan sääntöön; poikkeuksella on päättymispäivä.
- SBOM-tilannekuva jokaisesta julkaisusta, vietynä CRA:n teknistä dokumentaatiota varten.
Mitä teet täällä
- 1Rekisteröi jokainen sovellus kriittisyyksineen.
Jokaisella projektilla on elinkaaren vaihe, portit ja vaaditut testit — juuri se, mitä julkaisukatselmointi lukee.
Projects - 2Tuo jokainen skanneri yhteen rekisteriin.
SCA-, SAST-, salaisuus-, kontti-, IaC-, DAST- ja API-havainnot tulevat projektikohtaisesti, kukin lähteineen.
Findings - 3Priorisoi korjaukset hyödyntämisen, ei pelkän CVSS:n mukaan.
Tunnetusti hyödynnetyt CVE:t ja EPSS määräävät prioriteetin; jokaisella prioriteetilla on oma korjauksen määräpäivä.
Risk posture - 4Sido julkaisuportti kirjattuihin sääntöihin.
Portti päästää läpi tai estää politiikan perusteella; poikkeus nimeää omistajansa ja päättymispäivänsä.
Release gates - 5Syötä SBOM:t suoraan putkesta.
CycloneDX tai SPDX saapuu latauksena tai API-avaimella; tilannekuvat, VEX ja vienti seuraavat CRA-kansiota varten.
SBOM - 6Aja pentest testatun koodin rinnalla.
Laajuus, havainnot ja uudelleentestit ovat projektilla, joten korjaus suljetaan näytöllä eikä lupauksella.
Pentesting
Missä rooli päättyy
Sovellukset, havainnot, portit ja pentestit ovat sinun hoidettaviasi. Riskirekisteri, compliance-viitekehykset ja käyttäjätilit jäävät niiden omistajille.
Työskentelee yhdessä
ARCHTietoturva-arkkitehtiJoka järjestelmä, kuten se toimii. Joka kerros pisteytettynä.Piirrä jokainen järjestelmä sellaisena kuin se oikeasti toimii ja lue se kahdeksaa puolustuskerrosta vasten. Ohut kerros, polku yhdellä muurilla ja myöhässä oleva suunnittelukatselmointi näkyvät ennen kuin hyökkääjä tai auditoija löytää ne.
INTELUhkatiedusteluanalyytikkoNeljäkymmentä tiedotetta päivässä. Kolme koskee sinua.Julkiset uhkasyötteet luettuna omia havaintojasi vasten: mitä CVE:itä tiedetään hyödynnetyn, mitä kiristyshaittaohjelmat käyttävät, mitkä ovat todennäköisesti seuraavia. Sitten hyökkäyspolut sisääntulokohdasta niihin järjestelmiin, joilla on eniten väliä.
PENTESTTunkeutumistestaajaHavainnot sinne, missä korjataan. Ei uudelleen näppäiltävää PDF:ää.Kutsusta, yhteen toimeksiantoon: hyväksy toimeksiannon säännöt, lue rajaus, kirjaa havainnot todisteineen ja testaa korjaukset uudelleen — asiakkaan omassa työtilassa, sen sallimien päivämäärien ja osoitteiden rajoissa.
Valmis siirtymään
perinteisen GRC:n ohi?
14 päivän maksuton kokeilu. Ei luottokorttia. Pilvessä tai omissa tiloissa.