Безбедносни алати отвореног кода
Триви: Све-у-једном скенер рањивости за слике и код
Триви је Акуасецурити-ов скенер отвореног кода који проверава скоро све у модерном стеку: слике контејнера и системе датотека, ИаЦ шаблоне, гит репо, Кубернетес манифесте, тајне и усклађеност са лиценцом, са ЦВЕ подацима који се непрекидно ажурирају. Његова моћ у пракси је то што је скенер на који ЦИ цевовод може да уђе, са излазним кодовима који не успеју да се изграде.
Кључне точке
- Површина је намерно широка: ЦВЕ-ови ОС пакета и зависности од апликација (нпм, пип, Го модули, Јава ЈАР-ови), погрешне конфигурације ИаЦ-а (Доцкерфиле/Терраформ/К8с), уграђене тајне (АПИ кључеви, приватни кључеви) и усклађеност са лиценцом; један алат сажима четири категорије скенирања у једно ЦЛИ позивање.
- ЦИ гајтинг је оперативна исплата: --излазни код 1 --озбиљност КРИТИЧНА,ВИСОКА претвара скенирање у капију за изградњу; игнорисање филтрираних ЦВЕ-ова преко .тривиигноре са коментарима о истеку поставља 90-дневну навику прегледа која одржава капију поштеном, а не трајно заобиђеном.
- Режими скенирања покривају имање: скенирање слике (регистратор или локални демон), скенирање система датотека на изворним стаблима, репо скенирање на историји гит-а, скенирање Кубернетес кластера (преко к8с подкоманде) и генерисање СБОМ-а (ЦицлонеДКС/СПДКС) за ревизије; исте ЦЛИ конвенције свуда значе мале трошкове обуке.
- За руковање озбиљношћу је потребан контекст: ДБ је ауторитативан за ЦВЕ, али је слеп за вашу изложеност (да ли је доступан?), тако да дисциплина тријаже (да ли апликација заправо користи ту путању библиотеке? да ли је услуга окренута интернету?) припада процесу, а не алату; капије само за озбиљност без тријажне петље производе игнорисане скенере.
- Оперативни обрасци примене: скенирање у цевоводу (спајање капија), планирани прегледи регистра (хватање ЦВЕ-ова који се објављују након изградње) и провере времена пријема на кластерима (Кубернетес контролери приступа који позивају Триви); комбинација хвата прозор ЦВЕ-објављен-после имплементације који пропушта скенирање једним пролазом.
- Позиционирање унутар нашег скупа безбедносних алата: Триви (рањивост/превенција) допуњује Фалцо (време извођења/детекција) и Вазух (крајња тачка/СИЕМ слојеви); то је први скенер који примењујемо на било ком модерном пројекту јер су искреност ЦЛИ и ергономија ЦИ победили теже комерцијалне алате за првих 80%.
Теренска биљешка
ЦВЕ који је доказао навику ЦИ-капије: критички савет објављен девет дана након што је имиџ направљен чист. Заказано поновно скенирање регистра га је ухватило, реконструкција је трајала неколико минута. Алат са излазним кодовима и ритмом поновног скенирања вреди десет алата са контролним таблама које нико не отвара.
Цесто постављања питања
Триви против ОпенВАС (Греенбоне): зашто покрећемо оба?
Триви скенира артефакте (слике, изворни код, зависности, ИаЦ) и има ЦИ облик; ОпенВАС скенира мрежне сервисе уживо на хостовима са провереним сондама; одговарају на различита питања и допуњују се, а не такмиче.
Колико често се ажурира ЦВЕ база података?
Триви-јеве базе података се непрекидно синхронизују из више извора (НВД, ГХСА, Ред Хат, АВС, Дебиан, итд.); ажурирања су аутоматска са заказаним освежавањем кеша, а офлајн режим примењује прилагођена ДБ повлачења за поседе са ваздушним размаком.
Шта је .тривиигноре образац?
Фајл ЦВЕ ИД-ова (опционо са коментарима о истеку) који Триви прескаче; дисциплина су уноси са истеком рока важења са оправдањем и тромесечним прегледом, који се третирају експлицитно као прихваћени ризик, а не као прећутни стални.
Да ли скенирање у време изградње адекватно покрива ризик?
Покрива оно што је испоручено; ЦВЕ-ови се објављују континуирано, тако да упарите капију цевовода са заказаним поновним скенирањем активних слика и проверама времена пријема у кластерима, пошто је делта између дана изградње и недеље примене где живи пропуштено излагање.
Како Kinetikatech помаже код безбедносни алати отвореног кода
Ово смо рјешавали стотине пута: Професионалци у кутији алата за тестирање су заправо пуни: скенери, њушкари, крекери и веб проксији објаснили су начин на који се користе у стварним ангажманима — команде, заставице, излази и где се сваки налази у методологији. С Penetration Testing и Linux Server Security добивате пуни круг: процјењујемо, имплементирамо, надзиремо без престанка и интервенирамо у 30 минута кад је потребно.