Funktionen
Was Stella Ops leistet
Stella Ops befördert Container-Releases mit Nachweisen: welche Schwachstellen tatsächlich ausführbar sind, warum jedes Release freigegeben wurde, und Belege, die sich später erneut prüfen lassen — auf Docker Compose und einfachen Hosts, verbunden oder air-gapped.
v1.0-RC1, Release Candidate. Tarife schränken keine Funktionen ein — jede Fähigkeit des Releases ist in jedem Tarif verfügbar; begrenzt werden Umgebungen und Scan-Volumen.
Die Basis
Bereitstellung und Schwachstellenscans sind eingebaut: Releases gehen auf Docker Compose, Swarm und SSH/WinRM-Hosts; jedes Image erhält ein SBOM, Advisory-Abgleich und Richtlinien-Gates. Jedes ernstzunehmende Werkzeug deckt dieses Terrain ab. Was folgt, ist das, was die Basis allein nicht kann.
Nachweislich erreichbares Risiko blockiert das Release — Unbewiesenes bleibt sichtbar
Die Erreichbarkeit trennt Schwachstellen, die ausgeführt werden können, von Schwachstellen, die lediglich im Image vorhanden sind. Jedes Diagramm ist signiert, sodass der Beweis mit dem Ergebnis weitergegeben wird und nicht im Werkzeug verbleibt. ReachabilityAnalyse, die beweist, ob verwundbarer Code tatsächlich von Ihrer Anwendung aufgerufen wird — und so Fehlalarme aus dem Scanner-Rauschen herausfiltert
- → Drei Nachweisebenen: statischer Aufrufgraph, Vorhandensein von Binärsymbolen, Laufzeitbeobachtung
- → Statische Call-Graph-Unterstützung: compilernah für Go, Java und .NET; aus dem Quelltext für Python, JavaScript, TypeScript, Rust, PHP und Ruby
- → Mit DSSE versiegelte Graphen – der exakte Aufrufpfad, signiert statt nur bestätigt
Jede Entscheidung trägt einen Nachweis, den Sie erneut ausführen können
Jedes Urteil wird deterministisch aus eingefrorenen Eingaben berechnet – Feed-Snapshots, Analyseversionen, Richtlinienregeln – und in einem DSSE-Umschlag versiegelt, signiert mit einem Schlüssel, der Ihre Installation nie verlässt. Die Verifikation läuft gegen einen Vertrauensanker, den Sie konfigurieren, und schlägt ohne einen fehl. Führen Sie es Monate später erneut aus: Die Ausgabe stimmt überein, oder die Behauptung schlägt lautstark fehl. DSSEDead Simple Signing Envelope – ein einfacher, flexibler Standard zum Signieren beliebiger Daten mit kryptographischen Signaturen Decision CapsuleEin signiertes, exportierbares Nachweispaket, das jeden Input und Output einer Release-Entscheidung für Offline-Audit und deterministische Wiedergabe versiegelt
- → Eingefrorene Eingaben: Feed-Snapshots mit Merkle-Roots, Analyseversionen und dem Richtlinien-Hash
- → DSSE umfasst Eingaben, Beweise und Ausgaben – eine inhaltsadressierte Kapsel pro Entscheidung
- → Bei der Wiederholung handelt es sich um einen Verifizierungsschritt mit einem „Bestanden“- oder „Nicht bestanden“-Ergebnis, nicht um einen Screenshot eines alten Berichts
$ stella replay verify --manifest run-manifest.json
Der Befehl führt das Run-Manifest zweimal aus und vergleicht die Urteils-Digests. Identische Ergebnisse beenden mit Exit-Code 0; jede Abweichung wird aufgelistet und der Befehl schlägt fehl.
Befehle wie in der Produktkonsole angezeigt (v1.0-RC1).
Und wenn Nachweise fehlen, sagt das Urteil es: Unbekannte werden als offene Zustände mit Überprüfungsfenstern erfasst — niemals übertüncht. Wie Unbekannte verfolgt werden →
Alles funktioniert mit gezogenem Netzwerkstecker
Offline ist kein eingeschränkter Modus. Versiegelte Wissens-Snapshots – Advisory-Feeds, Richtlinien und Vertrauensmaterial mit Merkle-Wurzeln – passieren die Grenze als Bundle. Jedes Urteil hält fest, auf welchem Snapshot es beruht, sodass eine Air-Gap-Entscheidung außerhalb der isolierten Umgebung identisch wiedergegeben werden kann.
- → Offline-Update-Kit: Feeds, Sperrlisten und ein lokaler Transparenzspiegel
- → Urteile zitieren ihre Momentaufnahme, sodass es eine genaue Antwort auf das gibt, was zum Zeitpunkt der Entscheidung bekannt war
- → Regionale Kryptografie wird als wählbare Profile ausgeliefert — FIPS, GOST, SM, eIDAS — damit Signaturen zu der Jurisdiktion passen, die sie akzeptieren muss.
Souveräner und Offline-Betrieb → · Availability and sanctions notice →
Ebenfalls im Produkt
Jede dieser Fähigkeiten steht für sich. Hier eine Zeile; die ganze Geschichte ist einen Klick entfernt.
Estate-Überwachung → Der auf jedem Host laufende Digest wird mit dem Digest verglichen, den eine signierte Entscheidung freigegeben hat; Abweichungen werden sichtbar gemacht, nie stillschweigend abgeglichen.
VEX-Entscheidungen → Aussagen vieler Herausgeber werden mit erhaltener Provenienz gewichtet; Widerspruch wird als Konflikt erfasst, nicht unterdrückt.
Smart-Diff → Zwischen zwei Releases fließt die Prüfzeit in das, was sich inhaltlich geändert hat — nicht ins Neuzählen von Befunden.
Unbekannte verfolgen → Fehlende Nachweise werden in die Kategorien HOT, WARM und COLD mit Überprüfungsfenstern eingestuft, bis sie aufgelöst sind.
Compliance-Pakete → Custody-Nachweise werden auf NIS2-, DORA- und CRA-Pflichten abgebildet — reine Nachweissammlung, bekannte Lücken sind gekennzeichnet.
Digest-first-Identität → Ein Release ist eine unveränderliche Menge von OCI-Digests; ein Mismatch beim Pull lässt die Bereitstellung fehlschlagen.
Bereitstellungsstrategien → Canary, Rolling und Blue-Green, agentenbasiert oder agentenlos, mit Rollback auf bekanntermaßen gute Digests.
Integrationen → Konnektoren sind austauschbar; die Nachweiskette ist stabil — ein Tausch ändert nie, was eine Capsule beweist.
Betrieb → Ein Release-Modell für heterogene Ziele, mit offlinefähigen Routinen und Kontrolle in Ihrer Umgebung.
Was Sie in 30 Minuten erhalten
Installieren
Docker-Compose-Setup
Scannen
SBOM plus Erreichbarkeit
Gate
Richtlinienurteil für den Digest
Exportieren
Signierte Decision Capsule
Kostenloses Kontingent: 3 Umgebungen und bis zu 100 Scans neuer Digests pro rollierender 24-Stunden-Periode, alle Funktionen enthalten.
Bereit für beweiskräftige Veröffentlichungen?
Installieren mit Docker Compose und führen Sie Ihre erste verifizierte Aktion durch.