Smart-Diff - delta du risque sémantique
Ce qui a changé dans l'exploitabilité, pas dans le nombre de CVE
Un delta sémantique sur l'accessibilité et l'état VEX entre deux versions.
Un delta de comptage indique combien d’identifiants sont arrivés et partis. Smart-Diff compare les deux résumés en tant qu'états de risque : quels résultats ont gagné ou perdu un chemin d'exécution observé, quels états VEX ont été déplacés et lesquels de ces changements votre politique évalue.
Cela change ce qu'un critique lit en premier, jamais les conclusions en dessous.
Où il se situe dans la colonne vertébrale de la garde
- Source
- Construire
- Balayage
- Verdict
- Décision
- Déployer
- Montre
Le delta est calculé lorsqu'un résumé de candidat est examiné en vue d'une promotion : le verdict reprend ce qui a changé par rapport au résumé qu'il remplace, et la décision le scelle dans les preuves.
Deux lectures d'un même communiqué
Exemple illustratif : une formulation de démonstration, pas un résultat mesuré.
Un outil basé sur le nombre de rapports
+3 CVE
Trois identifiants sont arrivés avec une mise à jour de l'image de base et une augmentation des dépendances. Le décompte indique que le risque a augmenté. Il ne peut pas dire si l’un des trois peut s’exécuter.
Rapports Smart-Diff
+3 CVE, surface exploitable diminuée
Les trois ajouts ne suivent aucun chemin d’exécution observé. Une découverte qui était accessible et non corrigée dans le résumé précédent a disparu. Le changement matériel est la suppression.
« +3 CVE, surface exploitable diminuée » est une phrase qu'un outil basé sur le comptage ne peut pas produire. Cela nécessite de savoir quelles découvertes peuvent être exécutées, et non combien il en existe.
Ce qu'il compare réellement
Smart-Diff est une différence sur l'état de risque, liée à deux résumés d'images : la version que vous exécutez et la version que vous proposez. ReachabilityAnalyse qui prouve si le code vulnérable est réellement appelé par votre application — filtrant les faux positifs du bruit des scanners
Modifications du chemin accessible
Quels résultats ont gagné ou perdu un chemin d’exécution observé entre le résumé de base et le résumé cible. Une découverte qui cesse d’être accessible est un événement différent d’une découverte qui disparaît.
Transitions d'état VEX
Les mouvements de déclaration tels que affecté à non_affecté, enregistrés avec la justification derrière eux - un examinateur voit pourquoi l'État a bougé, pas seulement qu'il a bougé.
Deltas pertinents pour la politique
Modifications qui franchissent une porte évaluée par votre politique : mouvements de gravité, disponibilité du correctif, classe d'accessibilité. Les modifications ignorées par votre politique restent dans le delta, classées plus bas.
Lié à deux résumés, rejouables comme n'importe quel verdict
Le delta est enregistré sous la forme d’une attestation signée DSSE désignant les résumés d’images de base et cible. Sa charge utile contient les résultats ajoutés, supprimés et modifiés, le résultat de la porte d'accessibilité et la liste des modifications importantes. Réexécutez-le à partir des deux mêmes résumés et des mêmes preuves, et vous obtenez le même delta. DSSEDead Simple Signing Envelope – un standard simple et flexible pour signer des données arbitraires avec des signatures cryptographiques
Pourquoi le décompte induit en erreur
Une version peut ajouter dix identifiants CVE dans un code qui n'est jamais chargé et supprimer un résultat qui était accessible et non corrigé. Une porte basée sur le comptage bloque cette libération - la plus sûre. La détection des changements de risque matériel classe le delta afin que l'examinateur lise en premier ce qui a déplacé la surface exploitable. La longue queue est à un filtre.
Contexte sur la population de résultats sous-jacente, pas sur les deltas : environ 85 % des vulnérabilités critiques des conteneurs sont dans du code inactif (Rapport Sysdig 2024 sur la sécurité des conteneurs). Un delta qui ne compte que les identifiants hérite de ce bruit des deux côtés de la comparaison.
Où le delta atterrit
Examen de la version, avant la promotion.
- Un résumé de candidat parvient à l'examen. Son verdict porte le delta par rapport au résumé actuellement approuvé dans l'environnement cible.
- L'examinateur lit d'abord les changements importants : ce qui est devenu accessible, ce qui a cessé de l'être, quels états VEX ont été déplacés et pourquoi.
- Lors de la promotion, le delta est scellé dans les preuves de la décision. Lorsque quelqu'un demande plus tard pourquoi cette version a été autorisée, la réponse inclut ce qui a changé depuis la dernière fois - pas seulement un instantané.
La frontière
La qualité du delta suit la couverture d’accessibilité. L'analyse d'accessibilité couvre Java, C#, Go, JavaScript, TypeScript et Python. En dehors de ces langages, Smart-Diff enregistre toujours les résultats ajoutés, supprimés et modifiés entre les deux digests, mais il ne peut pas prétendre que l'exploitabilité a changé, et il le dit au lieu de signaler une absence de changement.