Несигурността като записано състояние
Всеки скенер има неизвестни. Stella Ops ви показва вашите.
Когато доказателствата не могат да потвърдят, че дадена находка е достижима или недостижима, повечето инструменти я скриват. Stella Ops я записва като явно неизвестна — разпределена в лента, с отчетена възраст и видима, докато доказателствата не я разрешат.
NOT OBSERVED не означава „неуязвимо“.
Празнотата е проследявана находка с отговорник и период за преглед, а не празно поле.
Моделът: несигурността е състояние, а не празнина
Неизвестна е находка, за която анализът не е могъл да потвърди дали е достижима или недостижима чрез събраните до момента доказателства. Това е твърдение за доказателствата, а не за уязвимостта — затова получава състояние, приоритет и история. ReachabilityАнализ, доказващ дали уязвимият код реално се извиква от приложението ви — филтрира фалшиви положителни от шума на скенерите
Неизвестните остават видими
Находките, за които не може да се потвърди дали са достижими или недостижими, остават в работния набор като неизвестни, вместо да отпаднат незабелязано. Те са с по-нисък приоритет от потвърдените блокиращи находки и никога не изчезват.
Лентите подреждат опашката за разглеждане
- HOT
- WARM
- COLD
- RESOLVED
Неизвестните се оценяват и разпределят в ленти според два фактора: колко несигурна е находката и какъв натиск за експлоатация стои зад нея. Разпределянето по ленти променя приоритета и акцента, но никога данните. Всяка лента има собствена честота за повторно сканиране, а RESOLVED затваря цикъла при получаване на доказателства.
Източници за натиска за експлоатация: KEVKnown Exploited Vulnerabilities – каталог на CISA за активно експлоатирани уязвимости EPSSExploit Prediction Scoring System – вероятностна оценка (0–100%), предсказваща вероятността уязвимост да бъде експлоатирана
KEV и EPSS са входни данни за оценка на риска в реално време в целия продукт. Свързването им с фактора за натиск за експлоатация при неизвестните е планирано, но не е предоставено във v1.0-RC1.
Отчитането на възрастта и затихването е умишлено
Възрастта на неизвестните се отчита спрямо прозорци за преглед, вместо те да остават непроменени. Всяка промяна на състоянието се записва, а не се презаписва — какво е било неизвестно, за колко време и какво го е разрешило остава в записа.
Политиката може да задава бюджет за неизвестните
Контролна точка може да изисква броят на неизвестните да бъде прегледан или ограничен, вместо да се представя за нула. Колко несигурност допуска дадена среда става явен избор на политиката, а не случаен резултат от инструментите.
Доказателственият изглед: екранът Exposure
Седем находки влизат в работния набор по-долу. Една блокира — REACHABLE и некоригирана. Останалите са в състояние NOT OBSERVED: все още са в набора, с по-нисък приоритет и никога скрити.
„Какво знаехте и кога?“
Това е въпросът на одита. Инструмент, който скрива неизвестните, не може да отговори честно: записът му показва само потвърденото, а несигурните находки не оставят следа. Stella Ops отговаря чрез самото записано състояние — кои находки са били неизвестни, в коя лента са се намирали, кога са прегледани и какви доказателства са ги преместили в RESOLVED.
Тези преходи на състоянието са част от доказателствата, които решението носи, затова отговорът е запис, който можете да предадете, а не възстановка. Decision CapsuleПодписан, експортируем пакет доказателства, запечатващ всеки вход и изход на решение за издаване за офлайн одит и детерминистично възпроизвеждане
Сравнение с други скенери
При нашия преглед на изходния код на Trivy v0.55, Grype v0.80 и Snyk CLI v1.1292 нито един от трите не проследяваше неизвестните като систематично състояние с процеси за ескалация. Находките без потвърждаващи доказателства се докладват без разграничение или се филтрират — без ленти, прозорци за преглед или записан път към разрешаване.
Това твърдение се основава на нашия одит на посочените версии. По-късните издания може да са променени — проверете спрямо изданието, което използвате.
Откъде идват неизвестните и накъде продължават
Неизвестните се създават от анализа, пренасят се в доказателствата и се наблюдават в инфраструктурата. Всеки изглед спазва едно и също правило: записва състоянието и никога не представя фиктивна сигурност.
Достижимост
Къде възникват неизвестните: находки, за които слоевете със статични, двоични и доказателства по време на изпълнение не могат да потвърдят дали са достижими или недостижими.
Доказателства
Неизвестните състояния и техните преходи се запечатват в пакета с доказателства за решението, така че несигурността към момента на решението да може да се възпроизведе по-късно.
Инфраструктура
Етапът Watch обработва друг вид неизвестно: изпълняван хеш, който не е одобрен/внедрен хеш, се маркира, а не се приема за безпроблемен.