Какво блокира доставянето — първо достижимата, некоригирана и значима за политиката експозиция.

Работният набор

Седем находки влизат в работния набор на екрана по-долу. Една блокира: тя е достижима и некоригирана. Другите шест са некоригирани, но не са показани като достижими — остават в набора, подредени по-ниско и никога скрити.

Две класации, един набор от данни

Един и същ работен набор обслужва две задачи. Превключването между тях променя кое се подрежда най-горе — нищо не влиза и не излиза.

Откъде идва доказателството

Статичният анализ произвежда вердикта при всяко сканиране. Двоичните символи и фактите от изпълнението добавят дълбочина, когато я искате. CVE?Common Vulnerabilities and Exposures – уникален идентификатор за публично известна уязвимост

Неизвестни като първокласно състояние

Когато анализът не може да определи достижимост, неопределеността се проследява явно — не се скрива или тихо приема за безопасна.

Къде влизат твърденията от VEX

Твърденията от VEX на издателите се включват в същия граф на доказателствата, нормализирани до пет състояния — not_affected, affected, fixed, under_investigation, unknown — така че „разследва се“ е състояние с последствия, а не бележка под линия. VEX?Vulnerability Exploitability eXchange – машинно четими изявления дали уязвимостите са реално експлоатируеми във вашия контекст

Множество издатели могат да говорят за един и същ компонент. Когато не са съгласни, разрешаването на конфликти по записва несъгласието като конфликт — нищо не се осреднява и никой издател не надделява мълчаливо.

Как се обединяват доказателствата от SBOM и VEX →

KEV и EPSS участват — те не решават

Списъците CISA KEV и оценките EPSS са сигнали на ниво бюлетин за експлоатация. Те повишават ранга и спешността на находката в работния набор. KEV?Known Exploited Vulnerabilities – каталог на CISA за активно експлоатирани уязвимости EPSS?Exploit Prediction Scoring System – вероятностна оценка (0–100%), предсказваща вероятността уязвимост да бъде експлоатирана

Exploit signals attach at the advisory level, not at the finding level. Open a CVE?Common Vulnerabilities and Exposures – уникален идентификатор за публично известна уязвимост to read its advisory-level exploit data: the KEV?Known Exploited Vulnerabilities – каталог на CISA за активно експлоатирани уязвимости listing and the EPSS?Exploit Prediction Scoring System – вероятностна оценка (0–100%), предсказваща вероятността уязвимост да бъде експлоатирана score belong to the advisory, and they read the same for every service that carries the affected component.

Спрямо скенер в CI

Скенерът отговаря „какво има в този образ сега“. Необходимо — но недостатъчно за решение за издание.

Пълни сравнения: Stella Ops спрямо Trivy | Stella Ops спрямо Grype

Държан отговорен пред публикувана еталонна истина

Класификаторът на достижимост се проверява срещу етикетиран корпус, който се доставя в публичното дърво на изходния код: осем минимални услуги на Java, Node.js, Python, Go, .NET, Ruby, Rust и PHP, всяка с файл с етикети, посочващ очаквания клас — от R0, недостижим в тази услуга, до R4, достижим от входната точка — и обосновката за него, за всяко CVE.

Същото дърво съдържа и инструмента, който оценява класификациите по класове — прецизност и пълнота, а не едно смесено число. Тъй като корпусът, етикетите и договорът за класовете са публични, не е нужно да приемате нашето им тълкуване: сканирайте същата еталонна истина със собствената си инсталация и сравнете резултата с публикуваните очаквани отговори.