اتخاذ القرارات الأمنية

قرارات يمكنك إثباتها وإعادة تشغيلها

تحكم في الإصدارات بتقييم السياسات، وحل VEX الشبكي، والأحكام الحتمية. كل قرار يُصدّر كبسولة موقعة وقابلة لإعادة التشغيل.

طلب الوصول اقرأ التوثيق

المشكلة مع سير العمل الأمني النموذجي

نتائج الماسح تتراكم. الاستثناءات تتجمع. بعد ستة أشهر، لا أحد يستطيع شرح لماذا تم تمييز CVE بـ "مقبول".

سير العمل الأمني النموذجي

  • ✗ VEXVulnerability Exploitability eXchange - بيانات قابلة للقراءة آليًا حول ما إذا كانت الثغرات قابلة للاستغلال فعلاً في سياقك كقمع أعمى — "علّم كغير متأثر"
  • ✗ البيانات المتعارضة يتم تجاهلها، وليس حلها
  • ✗ القرارات متناثرة عبر التذاكر والبريد الإلكتروني
  • ✗ لا طريقة لإثبات ما كان معروفاً وقت القرار

اتخاذ قرارات Stella

  • ✓ VEXVulnerability Exploitability eXchange - بيانات قابلة للقراءة آليًا حول ما إذا كانت الثغرات قابلة للاستغلال فعلاً في سياقك كحالة — التعارضات يتم اكتشافها وتتبعها
  • ✓ إجماع موزون بالثقة مع المبررات
  • ✓ القرارات محكمة في كبسولات قابلة للتصدير
  • ✓ إعادة تشغيل حتمية مع مدخلات مجمدة

محرك إجماع VEX

ليس قمعاً أعمى. شبكة من 5 حالات مع وزن الثقة، واكتشاف التعارضات، ومبررات قابلة للتصدير.

شبكة VEX من 5 حالات

بيانات VEX تُحل من خلال شبكة موزونة بالثقة. التعارضات حالة من الدرجة الأولى، وليست أخطاء مخفية.

مُصلح

غير متأثر

متأثر

تعارض

غير معروف

تقييم متجه الثقة

9 عوامل: سلطة المُصدر، الخصوصية، الحداثة، والمزيد.

اكتشاف التعارضات

الادعاءات المتناقضة يتم تمييزها للحل، وليس دمجها بصمت.

تراجع الحداثة

نصف عمر 14 يوماً يضمن أن الادعاءات القديمة تفقد تأثيرها.

7 مزودي CSAF

RedHat، Ubuntu، Oracle، MSRC، Cisco، SUSE، VMware.

تصدير المبررات

قابلية شرح بدرجة التدقيق لكل إجماع.

واجهة استوديو التعارضات

حل مرئي لادعاءات VEX المتعارضة.

محرك السياسات

10+ أنواع من نقاط التحكم مع منطق Belnap K4 رباعي القيم. صحيح، خاطئ، كلاهما، ولا أحد كلها حالات صالحة.

أنواع نقاط تحكم السياسة

  • → نقاط تحكم عتبة الخطورة (CVSSCommon Vulnerability Scoring System - تصنيف خطورة من 0 إلى 10 يشير إلى مدى حرجية الثغرة، EPSSExploit Prediction Scoring System - درجة احتمالية (0-100%) تتنبأ بمدى احتمال استغلال الثغرة)
  • → متطلبات قابلية الوصول للحرجة
  • → نقطة تحكم ميزانية المجهولات — تتبع عدم اليقين
  • → نقطة تحكم حصة المصدر — إنفاذ سقف 60%
  • → تكامل OPAوكيل السياسات المفتوح — محرك سياسات مفتوح المصدر للتطبيق الدقيق والمدرك للسياق عبر المكدس بأكمله/Rego للقواعد المخصصة

تقييم المخاطر

  • → CVSSCommon Vulnerability Scoring System - تصنيف خطورة من 0 إلى 10 يشير إلى مدى حرجية الثغرة v4.0، احتمالية EPSSExploit Prediction Scoring System - درجة احتمالية (0-100%) تتنبأ بمدى احتمال استغلال الثغرة v4
  • → اكتشاف KEVKnown Exploited Vulnerabilities - كتالوج CISA للثغرات المستغلة بنشاط (المستغل المعروف)
  • → مضاعفات نقاط التحكم الواعية بقابلية الوصول
  • → ملفات تعريف تقييم مخصصة
  • → محاكاة السياسة قبل النشر

كبسولات القرار

كل تقييم لنقطة تحكم ينتج حزمة أدلة محكمة وقابلة للتصدير. بعد ستة أشهر، أعد تشغيل القرار بالضبط.

ما في الكبسولة

✓ دايجست القطعة الأثرية (SHA-256)
✓ لقطة SBOMقائمة مواد البرمجيات - قائمة كاملة بجميع الحزم والتبعيات في برنامجك
✓ أدلة قابلية الوصول
✓ حالة VEXVulnerability Exploitability eXchange - بيانات قابلة للقراءة آليًا حول ما إذا كانت الثغرات قابلة للاستغلال فعلاً في سياقك (محلولة بالشبكة)
✓ إصدار السياسة + الحكم
✓ توقيعات الموافقة
طرفية
$ stella replay decision-capsule-2026-01-15.yaml --verify
إعادة تشغيل القرار من 2026-01-15T14:32:00Z...
نسخة السياسة: sha256:e5f6g7h8... (مطابقة)
لقطة feed:  sha256:i9j0k1l2... (مطابقة)
حالة VEX:      sha256:m3n4o5p6... (مطابقة)
الحكم:  ALLOW (مطابق للأصل)
فحص الحتمية: PASSED

نفس المدخلات → نفس المخرجات. جاهز للتدقيق.

الشهادات والتوقيع

بنية التوقيع التحتية

  • → توقيع مغلف DSSEDead Simple Signing Envelope - معيار بسيط ومرن لتوقيع البيانات بتوقيعات تشفيرية مع in-totoإطار عمل لتأمين سلسلة توريد البرمجيات من خلال التحقق من أن كل خطوة تمت كما هو مخطط ومن قبل جهات مصرح لها
  • → توقيع بدون مفتاح عبر Sigstoreمشروع مفتوح المصدر يوفر بنية تحتية مجانية لتوقيع الكود وسجلات الشفافية لسلسلة إمداد البرمجيات/Fulcio
  • → تكامل سجل شفافية Rekorسجل شفافية من Sigstore يوفر دفترًا غير قابل للتغيير لتوقيعات البرمجيات
  • → خدمة تدوير المفاتيح مع دعم HSM

25+ نوع من المسندات

  • → مسندات SBOMقائمة مواد البرمجيات - قائمة كاملة بجميع الحزم والتبعيات في برنامجك، VEXVulnerability Exploitability eXchange - بيانات قابلة للقراءة آليًا حول ما إذا كانت الثغرات قابلة للاستغلال فعلاً في سياقك، قابلية الوصول
  • → مسندات قرارات السياسة
  • → مسندات الموافقة البشرية
  • → مصدر SLSAمستويات سلسلة التوريد لأمان البرمجيات — إطار عمل لضمان سلامة المنتجات البرمجية عبر سلسلة التوريد بأكملها v1.0

ما الذي يجعله مختلفاً

أحكام قابلة للشرح

كل قرار يتضمن تتبع المبررات وتفصيل النقاط.

المجهولات كحالة

عدم اليقين يتم تتبعه وميزانيته، وليس إخفاؤه أو تجاهله.

إعادة التشغيل الحتمية

نفس المدخلات، نفس المخرجات. أثبت أي قرار بعد أشهر.

هل أنت مستعد لقرارات يمكنك إثباتها؟

ابدأ بإعداد السياسة وأول تقييم لنقطة تحكم.

طلب الوصول اقرأ التوثيق

تنسيق الإصدارات · محرك الأدلة · الأدلة والتدقيق