Uma lista do que corrigir. Antes de a versão sair.
Scanners, pipelines e pentests alimentam um registo por aplicação. Ordene as correções pelo que é de facto explorado, sujeite as versões a barreiras com regras escritas por si e guarde um SBOM por versão para o dossiê CRA.
O que isto substitui
- Seis scanners, seis dashboards e nenhuma lista única do que corrigir primeiro.
- O dia de lançamento chega sem acordo sobre se as falhas críticas abertas o bloqueiam.
- O regulador pede um SBOM; o servidor de build tinha um algures.
O que muda
- Uma prioridade por constatação, a partir de KEV e EPSS, com prazo de correção associado.
- Uma decisão de barreira cita a regra por trás dela; uma exceção tem data de fim.
- Um instantâneo SBOM por versão, exportado para a documentação técnica do CRA.
O que faz aqui
- 1Registe cada aplicação com a sua criticidade.
Cada projeto guarda fase do ciclo de vida, barreiras e testes exigidos — o que a revisão de versão lê.
Projects - 2Junte todos os scanners num só registo.
Constatações de SCA, SAST, segredos, contentores, IaC, DAST e API chegam por projeto, cada uma com a sua fonte.
Findings - 3Ordene correções por exploração, não só por CVSS.
CVE com exploração conhecida e EPSS definem a prioridade; cada prioridade tem o seu prazo de correção.
Risk posture - 4Condicione a versão a regras escritas.
Uma barreira aprova ou bloqueia face à política; uma exceção indica o seu responsável e a data de fim.
Release gates - 5Envie SBOMs diretamente a partir do pipeline.
CycloneDX ou SPDX chegam por carregamento ou chave de API; seguem-se instantâneos, VEX e exportação para o dossiê CRA.
SBOM - 6Faça o pentest junto ao código que testou.
Âmbito, constatações e retestes ficam no projeto, para que uma correção feche com evidência e não com uma promessa.
Pentesting
Onde a função termina
Aplicações, constatações, barreiras e pentests são seus para gerir. O registo de riscos, os referenciais de conformidade e as contas de utilizador ficam com quem os detém.
Trabalha com
ARCHArquiteto de segurançaCada sistema, tal como funciona. Cada camada, pontuada.Desenhe cada sistema tal como funciona de facto e leia-o face a oito camadas de defesa. A camada fina, o caminho com um só muro e a revisão de design em atraso aparecem antes de um atacante ou um auditor os encontrar.
INTELAnalista de informações sobre ameaçasQuarenta avisos por dia. Três dizem-lhe respeito.Fontes públicas de ameaças lidas contra as suas próprias constatações: que CVE têm exploração conhecida, quais o ransomware usa, quais serão provavelmente as seguintes. Depois, os caminhos de ataque de um ponto de entrada até aos sistemas que mais importam.
PENTESTPentesterConstatações onde se corrige. Nenhum PDF para voltar a digitar.Por convite, para um único trabalho: aceite as regras de empenhamento, leia o âmbito, registe constatações com prova e volte a testar as correções — no espaço de trabalho do próprio cliente, dentro das datas e endereços que ele autorizou.
Pronto para ir
além do GRC tradicional?
14 dias de teste gratuito. Sem cartão. Cloud ou on-premises.