Jedna lista tego, co naprawić. Zanim wydanie wyjdzie.
Skanery, pipeline'y i pentesty zasilają jeden rejestr na aplikację. Ustawiaj poprawki według tego, co faktycznie jest wykorzystywane, puszczaj wydania przez bramki według spisanych przez siebie reguł i trzymaj SBOM każdego wydania w teczce CRA.
Co to zastępuje
- Sześć skanerów, sześć dashboardów i żadnej wspólnej listy, co naprawić najpierw.
- Dzień wydania nadchodzi, zanim wszyscy się zgodzą, czy blokują go otwarte krytyczne ustalenia.
- Regulator prosi o SBOM; serwer buildów gdzieś go miał.
Co się zmienia
- Jeden priorytet na ustalenie z KEV i EPSS, z dołączonym terminem naprawy.
- Decyzja bramki cytuje regułę, która za nią stoi; wyjątek ma datę końca.
- Snapshot SBOM dla każdego wydania, wyeksportowany do dokumentacji technicznej CRA.
Co tu robisz
- 1Zarejestruj każdą aplikację z jej krytycznością.
Każdy projekt ma etap cyklu życia, swoje bramki i wymagane testy — to, co czyta przegląd wydania.
Projects - 2Ściągnij każdy skaner do jednego rejestru.
Ustalenia z SCA, SAST, sekretów, kontenerów, IaC, DAST i API trafiają do projektu, każde ze swoim źródłem.
Findings - 3Ustawiaj poprawki według wykorzystania, nie samego CVSS.
CVE ze znanym wykorzystaniem i EPSS wyznaczają priorytet; każdy priorytet ma własny termin naprawy.
Risk posture - 4Puszczaj wydanie przez bramkę ze spisanymi regułami.
Bramka przepuszcza albo blokuje według polityki; wyjątek wskazuje swojego właściciela i datę końca.
Release gates - 5Zasilaj SBOM-y prosto z pipeline'u.
CycloneDX lub SPDX przychodzi przez wgranie lub klucz API; dalej snapshoty, VEX i eksport do teczki CRA.
SBOM - 6Prowadź pentest obok kodu, który testował.
Zakres, ustalenia i retesty siedzą przy projekcie, więc poprawka zamyka się dowodem, a nie obietnicą.
Pentesting
Gdzie rola się kończy
Aplikacje, ustalenia, bramki i pentesty prowadzisz Ty. Rejestr ryzyk, frameworki compliance i konta użytkowników zostają u ich właścicieli.
Współpracuje z
ARCHArchitekt bezpieczeństwaKażdy system, tak jak działa. Każda warstwa, oceniona.Narysuj każdy system tak, jak naprawdę działa, a potem odczytaj go wobec ośmiu warstw obrony. Cienka warstwa, ścieżka z jednym murem i zaległy przegląd architektury wychodzą na jaw, zanim znajdzie je atakujący albo audytor.
INTELAnalityk threat intelligenceCzterdzieści ostrzeżeń dziennie. Trzy dotyczą Ciebie.Publiczne źródła o zagrożeniach czytane na tle Twoich ustaleń: które CVE są znane jako wykorzystywane, których używa ransomware, które są prawdopodobnie następne. Potem ścieżki ataku od punktu wejścia do systemów, które liczą się najbardziej.
PENTESTPentesterUstalenia tam, gdzie naprawiają. Bez PDF-a do przepisywania.Na zaproszenie, do jednego zlecenia: zaakceptuj zasady testów, przeczytaj zakres, zapisuj ustalenia z dowodami i przetestuj ponownie poprawki — we własnej przestrzeni klienta, w terminach i na adresach, na które pozwolił.
Gotowi wyjść
poza przestarzały GRC?
14 dni za darmo. Bez karty kredytowej. Chmura lub on-premises.