Seu primeiro alerta em três etapas.
Reserve dez minutos no total, dois deles para declarar sua pilha. Esta página descreve o que você faz; a referência API está na documentação técnica.
O guia do usuário completo
Cada tela do aplicativo é explicada passo a passo, com capturas de tela anotadas e close-ups: conta, pilha, alertas e como lidar com eles, fluxos de trabalho, relatórios, conformidade NIS2, administração de equipe e espaço Partner. Abra o guia do usuário.
1. Declare sua pilha
Três formas, à sua escolha, e podem ser combinadas:
- Importe um SBOM (Lista de materiais de software, o inventário de componentes produzido pelo pipeline de construção) no formato CycloneDX ou SPDX. É a rota mais confiável: as versões nela contidas são exatas.
- Insira manualmente o fornecedor, produto e versão. Aguarde dois minutos para cerca de dez componentes.
- Detectar de um URL público: identificamos as tecnologias visíveis, você confirma ou corrige.
Cada linha é traduzida em um identificador CPE (Enumeração de plataforma comum), o esquema de nomenclatura que identifica um produto e sua versão no sistema CVE. Esse identificador é o que torna possível a correspondência automática e é também o motivo pelo qual uma versão aproximada produz alertas aproximados.
Declarando “PHP” sem sua versão
Declarando “PHP” sem versão. Você receberá então cada CVE para cada ramificação, incluindo aquelas que você não executa: exatamente o ruído que você estava tentando remover. Declarar php8.1.28, não php.
2. Defina o limite de ruído
Por predefinição, recebe tudo o que afeta a sua stack. A maior parte das equipas reduz o ruído em dois passos: um limiar de severidade (muitas vezes CVSS ≥ 7) e uma exceção que deixa passar tudo se o CVE estiver no catálogo KEV da CISA, isto é, se a exploração tiver sido observada no terreno.
A ordem é importante. CVSS mede danos potenciais; EPSS estima a probabilidade de exploração em trinta dias; KEV confirma isso. Para entender o que você está ajustando, leia o que o CVSS realmente mede e o que o catálogo KEV exige.
3. Conecte um canal
Slack, Microsoft Teams e Discord através do webhook de entrada do canal URL, e-mail assinado por DKIM, webhook HTTP assinado por HMAC. Uma dica por experiência própria: envie alertas críticos para o Slack e deixe o restante no briefing diário. Se tudo chegar em tempo real, a equipe silencia as notificações em uma semana e você perde o benefício.
Próximo: automatizar
Um fluxo de trabalho começa a partir de um gatilho (novo CVE em sua pilha, prova de conceito publicada, listagem de KEV, fim do suporte se aproximando), filtra-o por meio de condições e, em seguida, executa ações. Você pode testá-lo em um CVE real antes de habilitá-lo.
Do lado da máquina, REST API v1 expõe os mesmos objetos: alertas, banco de dados CVE, inventário, casos, estatísticas. Ele está incluído nos planos Pro e Business, somente leitura, com uma exceção: seu pipeline de CI pode carregar seus relatórios de varredura. O caso de uso mais comum é um trabalho de CI que bloqueia a implantação enquanto um CVE crítico permanecer sem tratamento.
Referência completa de API e exemplos de curl, Python, JavaScript e GitHub Actions.