La incertidumbre como estado registrado
Cada escáner tiene incógnitas. Stella Ops te muestra el tuyo.
Cuando la evidencia no puede confirmar un hallazgo alcanzable o inalcanzable, la mayoría de las herramientas lo ocultan. Stella Ops lo registra como un desconocido explícito: con bandas, envejecido y visible hasta que la evidencia lo resuelva.
NOT OBSERVED no es vulnerable.
Una laguna es un hallazgo con seguimiento, responsable y ventana de revisión, no un campo vacío.
El modelo: la incertidumbre es un estado, no una brecha
Una incógnita es un hallazgo que el análisis no pudo confirmar como alcanzable o inalcanzable con la evidencia recopilada hasta ahora. Se trata de una afirmación sobre la evidencia, no sobre la vulnerabilidad, por lo que adquiere un estado, un rango y una historia. ReachabilityAnálisis que demuestra si el código vulnerable es realmente llamado por su aplicación — filtrando falsos positivos del ruido de escáneres
Las incógnitas siguen siendo visibles
Los hallazgos que no se pueden confirmar como alcanzables o inalcanzables permanecen en el conjunto de trabajo como incógnitas en lugar de abandonarlos silenciosamente. Tienen una clasificación más baja que los bloqueadores confirmados; nunca desaparecen.
Las bandas clasifican la cola de triaje
- HOT
- WARM
- COLD
- RESOLVED
Las incógnitas se clasifican en bandas según dos factores: qué tan incierto es un hallazgo y cuánta presión de explotación hay detrás de él. Las bandas cambian la clasificación y el énfasis, nunca los datos. Cada banda lleva su propia cadencia de reexploración y RESOLVED cierra el ciclo cuando llega la evidencia.
Alimentaciones de presión de explotación: KEVKnown Exploited Vulnerabilities – catálogo de CISA de vulnerabilidades activamente explotadas EPSSExploit Prediction Scoring System – una puntuación de probabilidad (0–100%) que predice qué tan probable es que una vulnerabilidad sea explotada
KEV y EPSS son entradas de puntuación de riesgo activas en todo el producto. Se planea conectarlos al factor de presión de explotación desconocido, no se envía en v1.0-RC1.
El envejecimiento y la decadencia son deliberados
Las incógnitas envejecen en las ventanas de revisión en lugar de permanecer intactas. Cada cambio de estado se registra, no se sobrescribe: lo que se desconocía, durante cuánto tiempo y lo que se resolvió permanece en el registro.
La política puede presupuestar incógnitas
Una puerta puede requerir que se inspeccione o limite el recuento desconocido en lugar de pretender que es cero. La cantidad de incertidumbre que tolera un entorno se convierte en una elección política explícita en lugar de un accidente de herramientas.
La superficie de prueba: la pantalla de exposición
Siete hallazgos ingresan al conjunto de trabajo a continuación. Uno de los bloques: accesible y sin arreglar. El resto tiene NOT OBSERVED estados: todavía en el conjunto, clasificado más abajo, nunca oculto.
“¿Qué sabías y cuándo?”
Ésa es la pregunta que plantea una auditoría. Una herramienta que oculta incógnitas no puede responder con sinceridad: su registro sólo muestra lo que se confirmó, y los hallazgos inciertos no dejaron rastro. Stella Ops responde con el estado registrado en sí: qué hallazgos se desconocían, en qué banda se encontraban, cuándo fueron revisados y qué evidencia los llevó a RESOLVED.
Esas transiciones de estado son parte de la evidencia que conlleva una decisión, por lo que la respuesta es un registro que se puede entregar, no una reconstrucción. Decision CapsuleUn paquete de evidencia firmado y exportable que sella cada entrada y salida de una decisión de lanzamiento para auditoría offline y reproducción determinista
¿En qué se diferencia esto de otros escáneres?
En nuestra revisión de fuentes de Trivy v0.55, Grype v0.80 y Snyk CLI v1.1292, ninguno de los tres rastreó las incógnitas como un estado sistemático con flujos de trabajo de escalada. Los hallazgos sin evidencia confirmatoria se informan sin formato o filtrados, sin bandas, ventanas de revisión ni una ruta de resolución registrada.
Esta declaración se basa en nuestra auditoría de esas versiones específicas. Las versiones posteriores pueden cambiarlo; verifíquelo con la versión que ejecuta.
De dónde vienen las incógnitas y adónde van
Las incógnitas se producen mediante análisis, se presentan como evidencia y se vigilan en la finca. Cada superficie sigue la misma regla: registrar el estado, nunca fingir certeza.
Alcanzabilidad
Dónde nacen las incógnitas: los hallazgos que las capas de evidencia estática, binaria y en tiempo de ejecución no pueden confirmar como alcanzables o inalcanzables.
Evidencia
Los estados desconocidos y sus transiciones están sellados en el paquete de evidencia de la decisión, por lo que la incertidumbre en el momento de la decisión se puede reproducir más adelante.
Bienes
La etapa Watch maneja una incógnita diferente: un digest en ejecución que no es aprobado/digest desplegado está marcado, no se supone que esté bien.