Was die Freigabe blockiert – zuerst erreichbare, nicht behobene, richtlinienrelevante Expositionen.

Der Arbeitssatz

In der folgenden Ansicht gelangen sieben Befunde in den Arbeitssatz. Einer blockiert: Er ist erreichbar und nicht behoben. Die anderen sechs sind ebenfalls nicht behoben, wurden aber nicht als erreichbar beobachtet – sie bleiben im Satz, werden niedriger priorisiert und niemals ausgeblendet.

Zwei Rankings, ein Datensatz

Derselbe Arbeitssatz bedient zwei Aufgaben. Wenn man zwischen ihnen wechselt, ändert sich die Sortierung nach oben – nichts kommt rein oder raus.

Woher der Nachweis kommt

Die statische Analyse erzeugt das Urteil bei jedem Scan. Binärsymbole und Laufzeitfakten liefern zusätzliche Tiefe, wenn Sie sie wollen. CVE?Common Vulnerabilities and Exposures – eine eindeutige Kennung für eine öffentlich bekannte Sicherheitslücke

Unbekannte als First-Class-Status

Wenn die Analyse die Erreichbarkeit nicht ermitteln kann, wird die Unsicherheit explizit nachverfolgt – nicht versteckt oder stillschweigend als sicher angenommen.

Wo VEX-Aussagen einfließen

VEX-Aussagen von Herausgebern werden demselben Nachweisgraphen hinzugefügt und auf fünf Status normalisiert — not_affected, affected, fixed, under_investigation, unknown. „In Untersuchung“ ist damit ein Zustand mit Konsequenzen, keine Fußnote. VEX?Vulnerability Exploitability eXchange – maschinenlesbare Aussagen darüber, ob Schwachstellen in Ihrem Kontext tatsächlich ausnutzbar sind

Mehrere Emittenten können über dieselbe Komponente sprechen. Wenn sie nicht einverstanden sind, erfasst die Konfliktlösung die Meinungsverschiedenheit als Konflikt – nichts wird gemittelt und kein Emittent gewinnt stillschweigend.

Wie SBOM- und VEX-Beweise zusammengeführt werden →

KEV und EPSS nehmen teil – sie entscheiden nicht

Einträge in CISA KEV und EPSS-Scores sind Ausnutzungssignale auf Advisory-Ebene. Sie erhöhen Rang und Dringlichkeit eines Befunds innerhalb des Arbeitssatzes. KEV?Known Exploited Vulnerabilities – CISAs Katalog aktiv ausgenutzter Schwachstellen EPSS?Exploit Prediction Scoring System – ein Wahrscheinlichkeitswert (0–100 %), der vorhersagt, wie wahrscheinlich eine Schwachstelle ausgenutzt wird

Exploit signals attach at the advisory level, not at the finding level. Open a CVE?Common Vulnerabilities and Exposures – eine eindeutige Kennung für eine öffentlich bekannte Sicherheitslücke to read its advisory-level exploit data: the KEV?Known Exploited Vulnerabilities – CISAs Katalog aktiv ausgenutzter Schwachstellen listing and the EPSS?Exploit Prediction Scoring System – ein Wahrscheinlichkeitswert (0–100 %), der vorhersagt, wie wahrscheinlich eine Schwachstelle ausgenutzt wird score belong to the advisory, and they read the same for every service that carries the affected component.

Im Vergleich zu einem Scanner in CI

Ein Scanner antwortet: „Was ist gerade in diesem Image?“ Notwendig – und nicht ausreichend für eine Freigabeentscheidung.

Vollständige Vergleiche: Stella Ops vs Trivy | Stella Ops vs Grype

An einer veröffentlichten Ground Truth gemessen

Der Erreichbarkeits-Klassifizierer wird an einem etikettierten Korpus gemessen, der im öffentlichen Quellbaum ausgeliefert wird: acht minimale Services in Java, Node.js, Python, Go, .NET, Ruby, Rust und PHP, jeder mit einer Labels-Datei, die pro CVE die erwartete Stufe — von R0, in diesem Service nicht erreichbar, bis R4, vom Entrypoint erreichbar — und deren Begründung festhält.

Derselbe Baum enthält das Harness, das Klassifizierungen je Stufe bewertet — Precision und Recall, keine einzelne Mischzahl. Weil Korpus, Labels und Stufenvertrag öffentlich sind, müssen Sie unsere Lesart nicht übernehmen: Scannen Sie dieselbe Ground Truth mit Ihrer eigenen Installation und vergleichen Sie das Ergebnis mit den veröffentlichten erwarteten Antworten.