Прийняття рішень з безпеки

Рішення, які можна довести та відтворити

Контролюйте релізи за допомогою оцінки політик, lattice VEX-розв'язання та детермінованих вердиктів. Кожне рішення експортує підписану, відтворювану капсулу.

Запитати доступ Читати документацію

Проблема типових процесів безпеки

Знахідки сканерів накопичуються. Винятки множаться. Через шість місяців ніхто не може пояснити, чому CVE було позначено як «прийнятне».

Типовий процес безпеки

  • ✗ VEXVulnerability Exploitability eXchange – машинозчитувані твердження про те, чи є вразливості реально експлуатованими у вашому контексті як сліпе придушення — «позначити як не впливає»
  • ✗ Конфліктуючі твердження ігноруються, а не розв'язуються
  • ✗ Рішення розкидані по тікетах та листах
  • ✗ Немає способу довести, що було відомо на момент рішення

Прийняття рішень «Стелли»

  • ✓ VEXVulnerability Exploitability eXchange – машинозчитувані твердження про те, чи є вразливості реально експлуатованими у вашому контексті як стан — конфлікти виявляються та відстежуються
  • ✓ Консенсус з вагою довіри та обґрунтуванням
  • ✓ Рішення запечатані в експортовані капсули
  • ✓ Детерміноване відтворення із замороженими вхідними даними

Рушій VEX-консенсусу

Не сліпе придушення. 5-станова решітка з вагою довіри, виявленням конфліктів та експортованим обґрунтуванням.

5-станова VEX-решітка

VEX-твердження розв'язуються через решітку з вагою довіри. Конфлікти — це першокласний стан, а не приховані помилки.

Виправлено

Не впливає

Впливає

Конфлікт

Невідомо

Скорингова система довіри

9 факторів: авторитет видавця, специфічність, свіжість та інші.

Виявлення конфліктів

Суперечливі твердження позначаються для розв'язання, а не мовчки об'єднуються.

Згасання свіжості

14-денний період напіврозпаду гарантує, що застарілі твердження втрачають вплив.

7 провайдерів CSAF

RedHat, Ubuntu, Oracle, MSRC, Cisco, SUSE, VMware.

Експорт обґрунтування

Пояснюваність аудиторського рівня для кожного консенсусу.

Студія розв'язання конфліктів

Візуальне розв'язання конфліктуючих VEX-тверджень.

Рушій політик

10+ типів контрольних точок з чотиризначною логікою Белнапа K4. True, False, Both та Neither — усі є допустимими станами.

Типи контрольних точок політики

  • → Контрольні точки порогів серйозності (CVSSCommon Vulnerability Scoring System – оцінка критичності від 0 до 10, що вказує серйозність вразливості, EPSSExploit Prediction Scoring System – ймовірнісна оцінка (0–100%), що передбачає ймовірність експлуатації вразливості)
  • → Вимога досяжності для критичних
  • → Бюджетна контрольна точка невідомостей — невизначеність відстежується
  • → Квотна контрольна точка джерел — застосування ліміту 60%
  • → Інтеграція OPAOpen Policy Agent — відкритий движок політик для детальної контекстно-залежної перевірки політик на всіх рівнях стеку/Rego для користувацьких правил

Оцінка ризику

  • → CVSSCommon Vulnerability Scoring System – оцінка критичності від 0 до 10, що вказує серйозність вразливості v4.0, ймовірність EPSSExploit Prediction Scoring System – ймовірнісна оцінка (0–100%), що передбачає ймовірність експлуатації вразливості v4
  • → Виявлення KEVKnown Exploited Vulnerabilities – каталог CISA активно експлуатованих вразливостей (відомо експлуатовані)
  • → Множники контрольних точок з урахуванням досяжності
  • → Користувацькі профілі скорингу
  • → Симуляція політики перед розгортанням

Капсули рішень

Кожна оцінка контрольної точки створює запечатаний, експортований пакет доказів. Через шість місяців відтворіть точне рішення.

Що всередині капсули

✓ Дайджест артефакту (SHA-256)
✓ Знімок SBOMSoftware Bill of Materials – повний перелік усіх пакетів та залежностей вашого ПЗ
✓ Докази досяжності
✓ Стан VEXVulnerability Exploitability eXchange – машинозчитувані твердження про те, чи є вразливості реально експлуатованими у вашому контексті (розв'язаний через решітку)
✓ Версія політики + вердикт
✓ Підписи схвалення
Термінал
$ stella replay decision-capsule-2026-01-15.yaml --verify
Відтворення рішення від 2026-01-15T14:32:00Z...
Версія політики: sha256:e5f6g7h8... (збігається)
Знімок фіду:  sha256:i9j0k1l2... (збігається)
Стан VEX:      sha256:m3n4o5p6... (збігається)
Вердикт:  ALLOW (ідентично оригіналу)
Перевірка детермінізму: PASSED

Ті самі входи → ті самі виходи. Готово до аудиту.

Атестація та підпис

Інфраструктура підпису

  • → Підпис оболонки DSSEDead Simple Signing Envelope – простий гнучкий стандарт для підпису довільних даних криптографічними підписами з in-totoФреймворк для захисту ланцюга постачання ПЗ шляхом перевірки, що кожен крок було виконано за планом і авторизованими учасниками
  • → Підпис без ключів через SigstoreOpen-source-проєкт, що надає безкоштовну інфраструктуру підпису коду та журналів прозорості для ланцюга постачання ПЗ/Fulcio
  • → Інтеграція з логом прозорості RekorЖурнал прозорості Sigstore, що надає незмінний реєстр програмних підписів
  • → Сервіс ротації ключів з підтримкою HSM

25+ типів предикатів

  • → Предикати SBOMSoftware Bill of Materials – повний перелік усіх пакетів та залежностей вашого ПЗ, VEXVulnerability Exploitability eXchange – машинозчитувані твердження про те, чи є вразливості реально експлуатованими у вашому контексті, досяжності
  • → Предикати рішень політики
  • → Предикати людського схвалення
  • → Походження SLSASupply-chain Levels for Software Artifacts — фреймворк для забезпечення цілісності програмних артефактів у всьому ланцюгу постачання v1.0

Що робить це унікальним

Пояснювані вердикти

Кожне рішення включає трасування обґрунтування та розбивку оцінок.

Невідомості як стан

Невизначеність відстежується та бюджетується, а не приховується чи ігнорується.

Детерміноване відтворення

Ті ж вхідні дані, той же результат. Доведіть будь-яке рішення через місяці.

Готові до рішень, які можна довести?

Почніть з налаштування політики та вашої першої оцінки контрольної точки.

Запитати доступ Читати документацію

Оркестрація релізів · Рушій доказів · Докази та аудит