Принятие решений о безопасности

Решения, которые можно доказать и воспроизвести

Контролируйте релизы с оценкой политик, решёточным VEX?Vulnerability Exploitability eXchange – машиночитаемые утверждения о том, являются ли уязвимости реально эксплуатируемыми в вашем контексте-консенсусом и детерминированными вердиктами. Каждое решение экспортируется как подписанная, воспроизводимая капсула.

Начать бесплатно Читать документацию

Проблема типичных процессов безопасности

Находки сканера накапливаются. Исключения множатся. Через полгода никто не может объяснить, почему CVE?Common Vulnerabilities and Exposures – уникальный идентификатор публично известной уязвимости безопасности была помечена как «допустимая».

Типичный процесс безопасности

✗ VEX?Vulnerability Exploitability eXchange – машиночитаемые утверждения о том, являются ли уязвимости реально эксплуатируемыми в вашем контексте как слепое подавление — «пометить как не затронутый»
✗ Конфликтующие утверждения игнорируются, а не разрешаются
✗ Решения разбросаны по тикетам и письмам
✗ Невозможно доказать, что было известно на момент решения

Stella принятие решения

✓ VEX?Vulnerability Exploitability eXchange – машиночитаемые утверждения о том, являются ли уязвимости реально эксплуатируемыми в вашем контексте как состояние — конфликты обнаруживаются и отслеживаются
✓ Консенсус с весами доверия и обоснованием
✓ Решения запечатаны в экспортируемых капсулах
✓ Детерминированное воспроизведение с замороженными входными данными

Движок VEX-консенсуса

Не слепое подавление. Решетка состояний 5 со взвешиванием доверия, обнаружением конфликтов и экспортируемым обоснованием.

5-состояние решетка

VEX?Vulnerability Exploitability eXchange – машиночитаемые утверждения о том, являются ли уязвимости реально эксплуатируемыми в вашем контексте-утверждения разрешаются через решётку с весами доверия. Конфликты — полноценное состояние, а не скрытые ошибки.

CR SR SU DT DV DA U

The same five states carry through reachability, decisioning, and the exported capsule. Conflicting issuer claims resolve by K4 (Belnap) rule, and the resolution is recorded as evidence rather than collapsed into a single winner.

Вектор оценки доверия

9 факторов: авторитет издателя, специфичность, свежесть и другие.

Обнаружение конфликтов

Противоречивые утверждения помечаются для разрешения, а не сливаются молча.

Угасание свежести

14-дневный период полураспада обеспечивает потерю влияния устаревших утверждений.

7 CSAF-провайдеров

RedHat, Ubuntu, Oracle, MSRC, Cisco, SUSE, VMware.

Экспорт обоснования

Объяснимость на уровне аудита для каждого консенсуса.

Студия разрешения конфликтов

Визуальное разрешение конфликтующих VEX?Vulnerability Exploitability eXchange – машиночитаемые утверждения о том, являются ли уязвимости реально эксплуатируемыми в вашем контексте-утверждений.

Движок политик

10+ типов контрольных точек с четырёхзначной логикой Белнапа K4. Истина, Ложь, Оба и Ни один — допустимые состояния.

Типы контрольных точек политики

→ Пороговые точки по критичности (CVSS?Common Vulnerability Scoring System – оценка критичности от 0 до 10, показывающая серьёзность уязвимости, EPSS?Exploit Prediction Scoring System – вероятностная оценка (0–100%), предсказывающая вероятность эксплуатации уязвимости)
→ Требование к достижимости для критических
→ Бюджет неизвестных — неопределённость отслеживается
→ Квота источников — ограничение 60%
→ Интеграция с OPA?Open Policy Agent — открытый движок политик для детальной контекстно-зависимой проверки политик на всех уровнях стека/Rego для кастомных правил

Оценка рисков

→ CVSS?Common Vulnerability Scoring System – оценка критичности от 0 до 10, показывающая серьёзность уязвимости v4.0, вероятность EPSS?Exploit Prediction Scoring System – вероятностная оценка (0–100%), предсказывающая вероятность эксплуатации уязвимости v4
→ Обнаружение KEV?Known Exploited Vulnerabilities – каталог CISA активно эксплуатируемых уязвимостей (известные эксплуатируемые)
→ Множители шлюзов политики с учетом достижимости
→ Кастомные профили оценки
→ Симуляция политик перед развёртыванием

Исключение имеет срок действия. Когда он истекает, находка возвращается в контрольную точку, а не остаётся молча принятой.

Decision Capsules

Каждая оценка контрольной точки создаёт запечатанный, экспортируемый пакет доказательств. Через полгода воспроизведите точное решение.

Что внутри капсулы

✓ Дайджест артефакта (SHA-256)

✓ Снимок

✓ достижимость свидетельство

✓ Состояние (разрешённое через решётку)

✓ Версия политики + вердикт

✓ Подписи одобрения

Терминал

$ stella replay verify --manifest run-manifest.json

Аттестация и подписание

Инфраструктура подписания

→ DSSE?Dead Simple Signing Envelope – простой гибкий стандарт для подписи произвольных данных криптографическими подписями-конверты с in-toto?Фреймворк для защиты цепочки поставок ПО путём проверки того, что каждый шаг был выполнен по плану и авторизованными участниками
→ Бесключевое подписание через Sigstore?Open-source-проект, предоставляющий бесплатную инфраструктуру подписи кода и журналов прозрачности для цепочки поставок ПО/Fulcio
→ Интеграция с журналом прозрачности Rekor?Журнал прозрачности Sigstore, предоставляющий неизменяемый реестр программных подписей
→ Сервис ротации ключей с поддержкой HSM

25+ типов предикатов

→ Предикаты SBOM?Software Bill of Materials – полный перечень всех пакетов и зависимостей вашего ПО, VEX?Vulnerability Exploitability eXchange – машиночитаемые утверждения о том, являются ли уязвимости реально эксплуатируемыми в вашем контексте, достижимости
→ Предикаты решений политик
→ Предикаты человеческого одобрения
→ Происхождение SLSA?Supply-chain Levels for Software Artifacts — фреймворк для обеспечения целостности программных артефактов по всей цепочке поставок v1.0

Чем это отличается

Объяснимые вердикты

Каждое решение включает трассировку обоснования и разбивку оценок.

Неизвестные как состояние

Неопределённость отслеживается и бюджетируется, а не скрывается или игнорируется.

Детерминированное воспроизведение

Те же входные данные — тот же результат. Докажите любое решение через месяцы.

Готовы к решениям, которые можно доказать?

Начните с настройки политик и вашей первой оценки контрольной точки.

Начать бесплатно Читать документацию

Оркестрация релизов · Движок доказательств · Доказательства и аудит