Невизначеність як зафіксований стан
Кожен сканер має невідоме. Stella Ops показує тобі свій.
Коли докази не можуть підтвердити, що знахідка досяжний або недосяжний, більшість інструментів знімають його з поля зору. Stella Ops записує це як явну невідомість — смуговану, стару і видиму, доки докази не розв'язають проблему.
NOT OBSERVED не є невразливим.
Прогалина — це відстежувана знахідка з відповідальним і вікном перегляду, а не порожнє поле.
Модель: невизначеність — це стан, а не розрив
Невідомий результат — це результат, для якого аналіз не зміг підтвердити досяжність або недосяжність на підставі зібраних доказів. Це твердження про докази, а не про вразливість, тому воно має стан, ранг та історію. ReachabilityАналіз, що доводить, чи дійсно вразливий код викликається вашим застосунком — фільтрація хибних спрацьовувань з шуму сканерів
Невідомі залишаються видимими
Знахідки, які не можна підтвердити як досяжні чи недосяжні, залишаються в робочому наборі як невідомі, а не тихо зникають. Вони займають нижчі позиції, ніж підтверджені блокувальники; вони ніколи не зникають.
Діапазони ранжують чергу розбір
- HOT
- WARM
- COLD
- RESOLVED
Невідомі оцінюють у діапазони за двома факторами: наскільки невизначеним є знахідка та наскільки сильно за ним лежить експлойтний тиск. Діапазони змінюють рейтинг і акцент, а не дані. Кожен діапазон має власний ритм повторного сканування, і RESOLVED закриває цикл, коли надходять докази.
Подачі під тиском експлойту: KEVKnown Exploited Vulnerabilities – каталог CISA активно експлуатованих вразливостей EPSSExploit Prediction Scoring System – ймовірнісна оцінка (0–100%), що передбачає ймовірність експлуатації вразливості
KEV та EPSS — це реальні дані для оцінки ризику по всьому продукту. Підключення їх до коефіцієнта експлойтного тиску невідомого планується, а не відправляється у v1.0-RC1.
Старіння і руйнування — це навмисно
Невідомі старіють біля оглядових вікон, а не залишаються недоторканими. Кожна зміна стану фіксується, а не перезаписується — те, що було невідомо, як довго і що це вирішувалося, залишається в записі.
Політика може бюджетувати невідомі
перевірка може вимагати перевірки або обмеження невідомого рахунку, замість того щоб удавати, що він дорівнює нулю. Те, скільки невизначеності терпить середовище, стає явним вибором політики, а не випадковістю інструментів.
Поверхня доказу: екран експозиції
Сім знахідок наведено до робочого набору нижче. Один блок — доступний і нефіксований. Решта мають NOT OBSERVED станах: все ще в наборі, нижчий рейтинг, ніколи не прихований.
"Що ти знав і коли?"
Це питання ставить аудит. Інструмент, що приховує невідоме, не може відповісти чесно: його записи показують лише те, що було підтверджено, а невизначені знахідки не залишають слідів. Stella Ops відповіді за самим записаним станом — які знахідки були невідомі, в якому діапазоні вони сиділи, коли їх переглядали і які докази спонукали їх до RESOLVED.
Ці зміни стану — це частина доказів, які має рішення, тому відповідь — це запис, який ви можете передати, а не реконструкцію. Decision CapsuleПідписаний експортований пакет доказів, що запечатує всі вхідні та вихідні дані рішення про реліз для офлайн-аудиту та детермінованого відтворення
Де це порівнюється з іншими сканерами
У нашому огляді джерел Trivy v0.55, Grype v0.80 та Snyk CLI v1.1292, жоден із трьох не відстежив невідомі як систематичний стан із робочими процесами ескалації. знахідки без підтвердження подаються як плоскі або відфільтровані — без діапазонів, оглядових вікон або зафіксованого шляху розв'язання.
Ця заява базується на нашому аудиті цих конкретних версій. Пізніші релізи можуть змінити це — перевіряйте за релізом, який ви використовуєте.
Звідки беруться невідомі — і куди вони йдуть
Невідомі виявляються шляхом аналізу, переносяться як докази та спостерігаються на інфраструктурі. Кожна поверхня дотримується одного й того ж правила: фіксуйте стан, ніколи не підробляйте впевненість.
Досяжність
Де народжуються невідомі: знахідки, статичний, бінарний і робочий шари доказів не можуть підтвердити досяжність чи недосяжність.
Докази
Невідомі стани та їхні переходи запечатані у наборі доказів рішення, тому невизначеність під час прийняття рішення може бути відтворена пізніше.
інфраструктура
Стадія Watch обробляє іншу невідомість: дайджест запущеного образу, який не є затвердженим або розгорнутим дайджестом, позначається, а не вважається нормальним.