Неопределенность как записанное состояние
У каждого сканера есть неизвестные состояния. Stella Ops показывает ваши.
Когда доказательства не могут подтвердить достижимость или недостижимость результата сканирования, большинство инструментов исключают его из поля зрения. Stella Ops записывает его как явную неизвестную информацию — связанную, устаревшую и видимую, пока доказательства не разрешат ее.
NOT OBSERVED не является неуязвимым.
Пробел — это отслеживаемая находка с ответственным и окном проверки, а не пустое поле.
Модель: неопределенность – это состояние, а не разрыв
Неизвестный — это результат сканирования, достижимость или недостижимость которого анализ не смог подтвердить с помощью собранных на данный момент доказательств. Это заявление о доказательствах, а не об уязвимости, поэтому оно получает состояние, ранг и историю. ReachabilityАнализ, доказывающий, вызывается ли уязвимый код вашим приложением — фильтрация ложных срабатываний из шума сканеров
Неизвестные остаются видимыми
Результаты сканирования, достижимость или недостижимость которых не может быть подтверждена, остаются в рабочем наборе как неизвестные, а не исчезают автоматически. Они имеют более низкий рейтинг, чем подтвержденные блокировщики; они никогда не исчезают.
Группы ранжируют очередь приоритизации
- HOT
- WARM
- COLD
- RESOLVED
Неизвестные распределяются по группам по двум факторам: степени неопределённости результата и давлению эксплуатации. Группировка меняет приоритет и акцент, но не данные. Для каждой группы задана собственная периодичность повторного сканирования, а RESOLVED замыкает цикл после поступления доказательств.
Источники давления эксплуатации: KEVKnown Exploited Vulnerabilities – каталог CISA активно эксплуатируемых уязвимостей EPSSExploit Prediction Scoring System – вероятностная оценка (0–100%), предсказывающая вероятность эксплуатации уязвимости
KEV и EPSS уже используются в продукте для оценки рисков. Их подключение к фактору давления эксплуатации для неизвестных запланировано, но не реализовано в v1.0-RC1.
Старение и распад являются преднамеренными
Неизвестные стареют в окнах просмотра, а не остаются нетронутыми. Каждое изменение состояния записывается, а не перезаписывается — то, что было неизвестно, как долго и что было решено, остается в записи.
Политика может составлять бюджет неизвестных
Шлюз политики может требовать проверки или ограничения неизвестного счетчика, а не притворяться, что он равен нулю. Степень неопределенности, которую допускает окружающая среда, становится явным политическим выбором, а не случайностью инструментов.
Пробная поверхность: экран «Экспонирование»
Ниже в рабочий набор входят семь результатов. Один блокирующий — REACHABLE и не исправленный. Остальные имеют состояние NOT OBSERVED: они остаются в наборе с более низким приоритетом и не скрываются.
«Что ты узнал и когда?»
Вот вопрос, который задает аудит. Инструмент, скрывающий неизвестные, не может ответить на него честно: в его записи указано только то, что подтвердилось, а неопределенные результаты сканирования не оставили никаких следов. Stella Ops отвечает самим записанным состоянием — какие результаты сканирования были неизвестны, в каком диапазоне они находились, когда их просматривали и какие доказательства переместили их в RESOLVED.
Эти переходы между состояниями являются частью доказательств, которые содержит решение, поэтому ответом является запись, которую вы можете передать, а не реконструкция. Decision CapsuleПодписанный экспортируемый пакет доказательств, запечатывающий все входные и выходные данные решения о релизе для офлайн-аудита и детерминированного воспроизведения
Отличие этого сканера от других сканеров
В нашем обзоре исходного кода Trivy v0.55, Grype v0.80 и Snyk CLI v1.1292 ни один из трёх инструментов не отслеживал неизвестное как систематическое состояние с процедурами эскалации. Результаты без подтверждающих доказательств выводятся единым списком или отфильтровываются — без групп, окон проверки и зафиксированного пути разрешения.
Это утверждение основано на результатах нашего аудита этих конкретных версий. В более поздних выпусках это может измениться — проверьте версию, которую вы используете.
Откуда берутся неизвестные и куда они уходят
Неизвестные создаются в результате анализа, переносятся в доказательства и отслеживаются в инфраструктуре. На каждой поверхности действует одно и то же правило: фиксируйте состояние, никогда не имитируйте уверенность.
Достижимость
Там, где рождаются неизвестные: результаты сканирования статические, двоичные и динамические слои доказательств не могут подтвердить достижимость или недостижимость.
Доказательства
Неизвестные состояния и их переходы запечатываются в пакет доказательств решения, поэтому неопределенность во время принятия решения можно воспроизвести позже.
инфраструктура
На этапе Watch обрабатывается другое неизвестное: текущий дайджест, который не является утвержденным/развернутым дайджестом, помечается, а не считается исправным.