Il tuo primo avviso in tre passaggi.
Concedetevi dieci minuti in tutto, due dei quali per dichiarare il vostro stack. Questa pagina descrive cosa fai; il riferimento API risiede nella documentazione tecnica.
La guida completa per l'utente
Ogni schermata dell'applicazione spiegata passo passo, con screenshot e primi piani annotati: account, stack, avvisi e come gestirli, flussi di lavoro, report, conformità NIS2, amministrazione del team e spazio Partner. Apri la guida per l'utente.
1. Dichiara il tuo stack
Tre modi, a tua scelta, e possono essere combinati:
- Importa un SBOM (Distinta materiali del software, l'inventario dei componenti prodotto dalla pipeline di creazione) in formato CycloneDX o SPDX. È il percorso più affidabile: le versioni in esso contenute sono esatte.
- Inserisci manualmente il fornitore, il prodotto e la versione. Bastano due minuti per una decina di componenti.
- Rileva da un URL pubblico: identifichiamo le tecnologie visibili, tu confermi o correggi.
Ogni riga viene tradotta in un identificatore CPE (Enumerazione della piattaforma comune), lo schema di denominazione che identifica un prodotto e la sua versione nel sistema CVE. Questo identificatore è ciò che rende possibile la corrispondenza automatica ed è anche il motivo per cui una versione approssimativa produce avvisi approssimativi.
Dichiarare "PHP" senza la sua versione
Dichiarare "PHP" senza versione. Riceverai quindi ogni CVE per ogni ramo, compresi quelli che non esegui: esattamente il rumore che stavi cercando di rimuovere. Dichiarare php8.1.28, no php.
2. Impostare la soglia del rumore
Per impostazione predefinita ricevete tutto ciò che riguarda il vostro stack. La maggior parte dei team abbassa il rumore in due tempi: una soglia di gravità (spesso CVSS ≥ 7) e un'eccezione che lascia passare tutto se la CVE è nel catalogo KEV della CISA, cioè se lo sfruttamento è stato osservato sul campo.
L'ordine conta. CVSS misura il danno potenziale; EPSS stima la probabilità di sfruttamento entro trenta giorni; KEV lo conferma. Per capire cosa stai accordando, leggi ciò che CVSS misura realmente e cosa richiede il catalogo KEV.
3. Collegare un canale
Slack, Microsoft Teams e Discord tramite il webhook in entrata URL del canale, email firmata DKIM, webhook HTTP firmato HMAC. Un consiglio dall'esperienza: invia avvisi critici a Slack e lascia il resto nel brief quotidiano. Se tutto arriva in tempo reale, il team disattiva le notifiche entro una settimana e tu perdi il vantaggio.
Avanti: automatizzare
Un flusso di lavoro inizia da un trigger (nuovo CVE nello stack, prova di concetto pubblicata, elenco KEV, fine del supporto imminente), lo filtra attraverso le condizioni, quindi esegue le azioni. Puoi eseguirlo a secco su un vero CVE prima di abilitarlo.
Lato macchina, REST API v1 espone gli stessi oggetti: avvisi, database CVE, inventario, casi, statistiche. È incluso nei piani Pro e Business, di sola lettura, con un'eccezione: la tua pipeline CI può caricare i suoi report di scansione. Il caso d'uso più comune è un lavoro CI che blocca la distribuzione finché un CVE critico rimane non gestito.
Riferimento completo a API ed esempi di curl, Python, JavaScript e GitHub Actions.