Поставку прежде всего блокирует достижимая, не исправленная и значимая для политики уязвимость.

Рабочий набор

Семь результатов входят в рабочий набор на экране ниже. Один блокирует: он достижим и не исправлен. Остальные шесть не исправлены, но не показаны как достижимые — они остаются в наборе, имеют более низкий приоритет и не скрываются.

Два рейтинга, один набор данных

Один и тот же рабочий набор обслуживает две работы. Переключение между ними меняет сортировку наверху — ничего не входит и не уходит.

Откуда берётся доказательство

Статический анализ формирует вердикт при каждом сканировании. Двоичные символы и факты выполнения добавляют глубину, когда она вам нужна. CVE?Common Vulnerabilities and Exposures – уникальный идентификатор публично известной уязвимости безопасности

Неизвестные как первоклассные State

Когда анализ не может определить достижимость, неопределенность отслеживается явно, а не скрывается или молчаливо считается безопасной.

Где вводятся операторы VEX

Заявления VEX от издателей присоединяются к тому же графу доказательств и нормализуются до пяти статусов — not_affected, affected, fixed, under_investigation, unknown — поэтому «в расследовании» — это состояние с последствиями, а не сноска. VEX?Vulnerability Exploitability eXchange – машиночитаемые утверждения о том, являются ли уязвимости реально эксплуатируемыми в вашем контексте

Несколько эмитентов могут говорить об одном и том же компоненте. Когда они не согласны, разрешение конфликтов фиксирует несогласие как конфликт — ничто не усредняется, и ни один эмитент не выигрывает молча.

Как объединяются доказательства SBOM и VEX →

KEV и EPSS участвуют — они не решают

Списки CISA KEV и оценки EPSS являются сигналами эксплойтов рекомендательного уровня. Они повышают ранг и срочность результатов сканирования внутри рабочего набора. KEV?Known Exploited Vulnerabilities – каталог CISA активно эксплуатируемых уязвимостей EPSS?Exploit Prediction Scoring System – вероятностная оценка (0–100%), предсказывающая вероятность эксплуатации уязвимости

Exploit signals attach at the advisory level, not at the finding level. Open a CVE?Common Vulnerabilities and Exposures – уникальный идентификатор публично известной уязвимости безопасности to read its advisory-level exploit data: the KEV?Known Exploited Vulnerabilities – каталог CISA активно эксплуатируемых уязвимостей listing and the EPSS?Exploit Prediction Scoring System – вероятностная оценка (0–100%), предсказывающая вероятность эксплуатации уязвимости score belong to the advisory, and they read the same for every service that carries the affected component.

По сравнению со сканером в CI

Сканер отвечает: «Что сейчас находится на этом изображении». Это необходимо, но недостаточно для принятия решения о выпуске.

Полное сравнение: Stella Ops против Trivy | Stella Ops против Grype

Проверяется по опубликованной эталонной истине

Классификатор достижимости проверяется по размеченному корпусу, который поставляется в публичном дереве исходного кода: восемь минимальных сервисов на Java, Node.js, Python, Go, .NET, Ruby, Rust и PHP, каждый с файлом меток, задающим для каждого CVE ожидаемый уровень — от R0, недостижимого в этом сервисе, до R4, достижимого от точки входа, — и обоснование.

В том же дереве лежит и инструмент, оценивающий классификации по уровням — точность и полнота, а не одно смешанное число. Поскольку корпус, метки и контракт уровней публичны, вам не нужно верить нашему прочтению: просканируйте ту же эталонную истину своей установкой и сравните её ответы с опубликованными ожидаемыми.