Принятие решений о безопасности

Решения, которые можно доказать и воспроизвести

Контролируйте релизы с оценкой политик, решёточным VEX-консенсусом и детерминированными вердиктами. Каждое решение экспортируется как подписанная, воспроизводимая капсула.

Запросить доступ Читать документацию

Проблема типичных процессов безопасности

Находки сканера накапливаются. Исключения множатся. Через полгода никто не может объяснить, почему CVE была помечена как «допустимая».

Типичный процесс безопасности

✗ VEX?Vulnerability Exploitability eXchange – машиночитаемые утверждения о том, являются ли уязвимости реально эксплуатируемыми в вашем контексте как слепое подавление — «пометить как не затронутый»
✗ Конфликтующие утверждения игнорируются, а не разрешаются
✗ Решения разбросаны по тикетам и письмам
✗ Невозможно доказать, что было известно на момент решения

Решения «Стеллы»

✓ VEX?Vulnerability Exploitability eXchange – машиночитаемые утверждения о том, являются ли уязвимости реально эксплуатируемыми в вашем контексте как состояние — конфликты обнаруживаются и отслеживаются
✓ Консенсус с весами доверия и обоснованием
✓ Решения запечатаны в экспортируемых капсулах
✓ Детерминированное воспроизведение с замороженными входными данными

Движок VEX-консенсуса

Не слепое подавление. Пятисостоятельная решётка с весами доверия, обнаружением конфликтов и экспортируемым обоснованием.

Пятисостоятельная VEX-решётка

VEX-утверждения разрешаются через решётку с весами доверия. Конфликты — полноценное состояние, а не скрытые ошибки.

Исправлено

Не затронуто

Затронуто

Конфликт

Неизвестно

Вектор оценки доверия

9 факторов: авторитет издателя, специфичность, свежесть и другие.

Обнаружение конфликтов

Противоречивые утверждения помечаются для разрешения, а не сливаются молча.

Угасание свежести

14-дневный период полураспада обеспечивает потерю влияния устаревших утверждений.

7 CSAF-провайдеров

RedHat, Ubuntu, Oracle, MSRC, Cisco, SUSE, VMware.

Экспорт обоснования

Объяснимость на уровне аудита для каждого консенсуса.

Студия разрешения конфликтов

Визуальное разрешение конфликтующих VEX-утверждений.

Движок политик

10+ типов контрольных точек с четырёхзначной логикой Белнапа K4. Истина, Ложь, Оба и Ни один — допустимые состояния.

Типы контрольных точек политики

→ Пороговые точки по критичности (CVSS?Common Vulnerability Scoring System – оценка критичности от 0 до 10, показывающая серьёзность уязвимости, EPSS?Exploit Prediction Scoring System – вероятностная оценка (0–100%), предсказывающая вероятность эксплуатации уязвимости)
→ Требование достижимости для критических уязвимостей
→ Бюджет неизвестных — неопределённость отслеживается
→ Квота источников — ограничение 60%
→ Интеграция с OPA?Open Policy Agent — открытый движок политик для детальной контекстно-зависимой проверки политик на всех уровнях стека/Rego для кастомных правил

Оценка рисков

→ CVSS?Common Vulnerability Scoring System – оценка критичности от 0 до 10, показывающая серьёзность уязвимости v4.0, вероятность EPSS?Exploit Prediction Scoring System – вероятностная оценка (0–100%), предсказывающая вероятность эксплуатации уязвимости v4
→ Обнаружение KEV?Known Exploited Vulnerabilities – каталог CISA активно эксплуатируемых уязвимостей (известные эксплуатируемые)
→ Множители контрольных точек с учётом достижимости
→ Кастомные профили оценки
→ Симуляция политик перед развёртыванием

Капсулы решений

Каждая оценка контрольной точки создаёт запечатанный, экспортируемый пакет доказательств. Через полгода воспроизведите точное решение.

Что внутри капсулы

✓ Дайджест артефакта (SHA-256)

✓ Снимок

✓ Доказательства достижимости

✓ Состояние (разрешённое через решётку)

✓ Версия политики + вердикт

✓ Подписи одобрения

Терминал

$ stella replay decision-capsule-2026-01-15.yaml --verify
Воспроизведение решения от 2026-01-15T14:32:00Z...
Версия политики: sha256:e5f6g7h8... (совпадает)
Снимок фида:  sha256:i9j0k1l2... (совпадает)
Состояние VEX:      sha256:m3n4o5p6... (совпадает)
Вердикт:  ALLOW (идентично оригиналу)
Проверка детерминизма: PASSED

Те же входы → те же выходы. Готово для аудита.

Аттестация и подписание

Инфраструктура подписания

→ DSSE?Dead Simple Signing Envelope – простой гибкий стандарт для подписи произвольных данных криптографическими подписями-конверты с in-toto?Фреймворк для защиты цепочки поставок ПО путём проверки того, что каждый шаг был выполнен по плану и авторизованными участниками
→ Бесключевое подписание через Sigstore?Open-source-проект, предоставляющий бесплатную инфраструктуру подписи кода и журналов прозрачности для цепочки поставок ПО/Fulcio
→ Интеграция с журналом прозрачности Rekor?Журнал прозрачности Sigstore, предоставляющий неизменяемый реестр программных подписей
→ Сервис ротации ключей с поддержкой HSM

25+ типов предикатов

→ Предикаты SBOM?Software Bill of Materials – полный перечень всех пакетов и зависимостей вашего ПО, VEX?Vulnerability Exploitability eXchange – машиночитаемые утверждения о том, являются ли уязвимости реально эксплуатируемыми в вашем контексте, достижимости
→ Предикаты решений политик
→ Предикаты человеческого одобрения
→ Происхождение SLSA?Supply-chain Levels for Software Artifacts — фреймворк для обеспечения целостности программных артефактов по всей цепочке поставок v1.0

Чем это отличается

Объяснимые вердикты

Каждое решение включает трассировку обоснования и разбивку оценок.

Неизвестные как состояние

Неопределённость отслеживается и бюджетируется, а не скрывается или игнорируется.

Детерминированное воспроизведение

Те же входные данные — тот же результат. Докажите любое решение через месяцы.

Готовы к решениям, которые можно доказать?

Начните с настройки политик и вашей первой оценки контрольной точки.

Запросить доступ Читать документацию

Оркестрация релизов · Движок доказательств · Доказательства и аудит