Smart-Diff - delta de riesgo semántico
Lo que cambió en explotabilidad, no en el recuento de CVE
Un delta semántico sobre los estados alcanzabilidad y VEX entre dos versiones.
Un conteo delta dice cuántos identificadores llegaron y se fueron. Smart-Diff compara los dos digests como estados de riesgo: qué hallazgos ganaron o perdieron una ruta de ejecución observada, qué estados VEX se movieron y cuál de esos cambios evalúa su política.
Cambia lo que un revisor lee primero, nunca los hallazgos que se encuentran debajo.
Dónde se encuentra en la columna de custodia
- Fuente
- Construir
- Escanear
- Veredicto
- Decisión
- Desplegar
- Mirar
El delta se calcula cuando se revisa un candidato digest para su ascenso: el veredicto incluye lo que cambió con respecto al digest al que reemplaza, y la decisión lo sella en la evidencia.
Dos lecturas del mismo comunicado.
Ejemplo ilustrativo: fraseo de demostración, no resultado medido.
Una herramienta basada en recuento informa
+3 CVEs
Llegaron tres identificadores con una actualización de la imagen base y un aumento de dependencia. El recuento dice que el riesgo aumentó. No puede decir si alguno de los tres puede ejecutar.
Smart-Diff informes
+3 CVEs, superficie explotable disminuida
Las tres adiciones se encuentran en un camino de ejecución no observado. Un hallazgo al que se podía acceder y que no se había corregido en el digest anterior desapareció. El cambio material es la eliminación.
"+3 CVEs, superficie explotable disminuida" es una frase que una herramienta basada en recuento no puede producir. Requiere saber qué hallazgos se pueden ejecutar, no cuántos existen.
Lo que realmente compara
Smart-Diff es una diferencia sobre el estado de riesgo, vinculada a dos imágenes digests: la versión que ejecuta y la versión que propone. ReachabilityAnálisis que demuestra si el código vulnerable es realmente llamado por su aplicación — filtrando falsos positivos del ruido de escáneres
Cambios en la ruta accesible
Qué hallazgos ganaron o perdieron una ruta de ejecución observada entre la base digest y el objetivo digest. Un hallazgo que deja de ser alcanzable es un acontecimiento diferente a un hallazgo que desaparece.
VEX transiciones de estado
Movimientos de declaraciones, como de afectado a no afectado, registrados con la justificación detrás de ellos: un revisor ve por qué el estado se movió, no solo que se movió.
Deltas relevantes para las políticas
Cambios que cruzan una puerta que su política evalúa: movimientos de gravedad, disponibilidad de arreglos, clase alcanzabilidad. Los cambios que su política ignora permanecen en el delta, clasificados más abajo.
Vinculado a dos digests, rejugable como cualquier veredicto
El delta se registra como una certificación firmada por DSSE que nombra la imagen base y de destino digests. Su carga útil incluye hallazgos agregados, eliminados y modificados, el resultado de la puerta alcanzabilidad y la lista de cambios materiales. Vuelva a ejecutarlo desde los mismos dos digests y la misma evidencia, y obtendrá el mismo delta. DSSEDead Simple Signing Envelope – un estándar simple y flexible para firmar datos arbitrarios con firmas criptográficas
¿Por qué el conteo engaña?
Una versión puede agregar diez identificadores CVE en un código que nunca se carga y eliminar un hallazgo al que se pudo acceder y no se corrigió. Una puerta basada en el conteo bloquea esa liberación: la más segura. La detección de cambios de riesgo de material clasifica el delta para que el revisor lea primero qué superficie explotable se movió. La cola larga está a un filtro de distancia.
Contexto de la población de hallazgos subyacente, no de deltas: ~85% de las vulnerabilidades críticas de los contenedores están en código inactivo (Sysdig 2024 Informe de seguridad de contenedores). Un delta que solo cuenta identificadores hereda ese ruido en ambos lados de la comparación.
Donde aterriza el delta
Revisión de lanzamiento, antes de la promoción.
- Un candidato digest llega a revisión. Su veredicto lleva el delta contra el digest actualmente aprobado en el entorno de destino.
- El revisor lee primero los cambios materiales: qué se volvió accesible, qué dejó de ser accesible, qué VEX estados se movieron y por qué.
- En el caso de un ascenso, el delta queda sellado en la evidencia de la decisión. Cuando alguien pregunta más tarde por qué se permitió esta publicación, la respuesta incluye lo que cambió desde la última vez, no solo una instantánea.
El límite
La calidad del delta sigue la cobertura de alcanzabilidad. El análisis de alcanzabilidad cubre Java, C#, Go, JavaScript, TypeScript y Python. Fuera de esos lenguajes, Smart-Diff aún registra hallazgos agregados, eliminados y modificados entre los dos digests, pero no puede afirmar que la explotabilidad haya cambiado, y lo dice en lugar de informar que no hubo cambios.