Ihre erste Warnung in drei Schritten.
Nehmen Sie sich insgesamt zehn Minuten Zeit, davon zwei, um Ihren Stack bekannt zu geben. Auf dieser Seite wird beschrieben, was Sie tun. Die API-Referenz lebt in der technischen Dokumentation.
Die komplette Bedienungsanleitung
Jeder Bildschirm der Anwendung wird Schritt für Schritt erklärt, mit kommentierten Screenshots und Nahaufnahmen: Konto, Stack, Warnungen und deren Handhabung, Arbeitsabläufe, Berichte, NIS2-Konformität, Teamverwaltung und der Partner-Bereich. Öffnen Sie das Benutzerhandbuch.
1. Deklarieren Sie Ihren Stapel
Drei Möglichkeiten, Sie haben die Wahl und können kombiniert werden:
- Importieren Sie ein SBOM (Software-Stückliste, das von Ihrer Build-Pipeline erzeugte Komponenteninventar) im CycloneDX- oder SPDX-Format. Es ist die zuverlässigste Route: Die darin enthaltenen Versionen sind exakt.
- Geben Sie manuell ein Hersteller, Produkt und Version. Für etwa zehn Komponenten zwei Minuten einplanen.
- Von einem öffentlichen URL erkennen: Wir identifizieren die sichtbaren Technologien, Sie bestätigen oder korrigieren.
Jede Zeile wird in einen CPE-Bezeichner übersetzt (Gemeinsame Plattformaufzählung), das Benennungsschema, das ein Produkt und seine Version im CVE-System identifiziert. Diese Kennung ermöglicht den automatischen Abgleich und ist auch der Grund, warum eine ungefähre Version ungefähre Warnungen erzeugt.
Deklaration von „PHP“ ohne seine Version
Deklaration von „PHP“ ohne Version. Sie erhalten dann jedes CVE für jeden Zweig, einschließlich derjenigen, die Sie nicht ausführen: genau das Rauschen, das Sie entfernen wollten. Erklären PHP 8.1.28, nicht php.
2. Stellen Sie den Geräuschschwellenwert ein
Standardmäßig erhalten Sie alles, was Ihren Stack betrifft. Die meisten Teams schränken das in zwei Schritten ein: eine Schwelle für den Schweregrad (oft CVSS ≥ 7) und eine Ausnahme, die alles durchlässt, wenn die CVE im KEV-Katalog der CISA steht, das heißt, wenn ihre Ausnutzung in der Praxis beobachtet wurde.
Ordnung ist wichtig. CVSS misst potenzielle Schäden; EPSS schätzt die Wahrscheinlichkeit einer Ausnutzung innerhalb von dreißig Tagen; KEV bestätigt es. Um zu verstehen, was Sie tunen, lesen Sie was CVSS wirklich misst und was der KEV-Katalog erfordert.
3. Verbinden Sie einen Kanal
Slack, Microsoft Teams und Discord über den eingehenden Webhook des Kanals URL, DKIM-signierte E-Mail, HMAC-signierter HTTP-Webhook. Ein Tipp aus Erfahrung: Senden Sie kritische Alarme an Slack und belassen Sie den Rest im Tagesbrief. Wenn alles in Echtzeit eintrifft, schaltet das Team die Benachrichtigungen innerhalb einer Woche stumm und Sie haben den Vorteil verloren.
Als nächstes: automatisieren
Ein Workflow beginnt mit einem Auslöser (neues CVE auf Ihrem Stack, veröffentlichter Proof of Concept, KEV-Auflistung, baldiges Ende des Supports), filtert ihn anhand von Bedingungen und führt dann Aktionen aus. Sie können es vor der Aktivierung auf einem echten CVE testen.
Auf der Maschinenseite stellt REST API v1 dieselben Objekte bereit: Warnungen, CVE-Datenbank, Inventar, Fälle, Statistiken. Es ist in den Pro- und Business-Plänen schreibgeschützt enthalten, mit einer Ausnahme: Ihre CI-Pipeline kann ihre Scanberichte hochladen. Der häufigste Anwendungsfall ist ein CI-Job, der die Bereitstellung blockiert, solange ein kritischer CVE nicht bearbeitet wird.
Vollständige API-Referenz und Curl-, Python-, JavaScript- und GitHub Actions-Beispiele.