Code-Sicherheit
Vauban ist Anwendungssicherheit für den Code kleiner und mittlerer Unternehmen in Frankreich und Europa. Es liest Ihren repositories auf GitHub, GitLab und Azure DevOps, bewertet jeden einzelnen von A bis F, schreibt seinen Aktionsplan und prüft jeden Pull-Request in Ihrem CI. Vauban befindet sich in der Pilotphase.
Code-Sicherheit
Vauban liest den Code des repositories, mit dem Sie eine Verbindung herstellen, und zeigt, was offengelegt wird: Fehler in Ihrem eigenen Code, durchgesickerte Geheimnisse, anfällige Abhängigkeiten und riskante Konfigurationen. Für jeden repository werden die Ergebnisse in eine Note von A bis F und einen Aktionsplan umgewandelt, und die Entscheidungen, die Ihr Team aufzeichnet, werden auf die nächsten Scans und die Prüfung bei jedem Pull-Request angewendet.
Ein kleines Team weiß, was sein Code offenlegt und was zuerst behoben werden muss, behält die Kontrolle über jede Entscheidung und erkennt einen neuen Fehler beim Pull-Request und nicht in der Produktion.
In jedem Plan
Solo und Team führen bei jedem Scan die gleichen Analysen durch. Der Team-Plan fügt die Überprüfung der Agenten-KI und höhere quotas hinzu.
Statische Analyse Ihres Codes (SAST) und durchgesickerte Geheimnisse, die nach ihrem Standort und der Regel, die sie gefunden hat, gemeldet werden, wobei der Wert ganz oder teilweise maskiert wird. Behandeln Sie alle geheimen Vauban-Berichte als offengelegt: widerrufen Sie sie und ersetzen Sie sie.
Dockerfiles, Terraform-Dateien und die Konfiguration Ihres CI werden mit dem Code analysiert.
Bekannte Schwachstellen in Ihren Abhängigkeiten, jeweils mit der behobenen Version, dem Marker „Bekannt ausgenutzt“ und der EPSS-Wahrscheinlichkeit. Die Erreichbarkeit zeigt, ob Ihr Code tatsächlich eine anfällige Abhängigkeit erreicht. Die von repository erstellten Bilder und die von ihr deklarierten Basisbilder werden ebenfalls überprüft.
Komponenten nach Lizenzfamilie gruppiert und Ihre Entscheidung wird auf jeder Lizenz vermerkt, die sie tragen. Die SBOM-Exporte in CycloneDX 1.6 und SPDX 2.3. Eine mit Vauban gekennzeichnete Lizenz stellt keine Rechtsberatung dar: Die Entscheidung liegt bei Ihnen.
Eine Sicherheitsstufe von A bis F für jeden repository, ein Aktionsplan, der Vergleich mit dem vorherigen Scan und Trends im Zeitverlauf. Jeder repository, dem Sie folgen, wird jeden Tag gescannt und diese Scans werden nicht auf Ihren quota angerechnet. Außerhalb der Bewertung werden auch Leistungs- und Datenschutzergebnisse aufgeführt.
Bei vollständigen repository-Scans werden wahrscheinlich falsch positive Ergebnisse automatisch aussortiert. Die Entscheidung einer Person hat Vorrang vor dieser Triage, und die Entscheidungen und Ausnahmen Ihrer Teamaufzeichnungen werden von allen geteilt, die Zugriff auf repository nachweisen, und auf die Pull-Request-Prüfung angewendet.
KI erklärt jeden Befund, und der Assistent beantwortet Ihre Fragen dazu und schlägt eine Lösung vor. Jeder Benutzer kann beides von seinem eigenen KI-Anbieter bedienen lassen, der in Vauban konfiguriert ist.
Repositorys auf GitHub, GitLab und Azure DevOps. API tokens für Ihr CI, eine Prüfung von Pull-Requests und Branches sowie SARIF-Export für die Tools, die Sie bereits verwenden.
Der Teamplan
Alles im Solo-Plan, eine Sicherheitsüberprüfung durch KI-Modelle und jeden Monat mehr Platz.
KI-Modelle suchen nach Authentifizierungsumgehungen, Autorisierungsfehlern, fehlerhafter Mandantenisolierung, prompt-Injection, Remote-Codeausführung, unsicherer Auswertung und Kryptografiefehlern. Jede Feststellung wird durch eine zitierte Akte und deren Beweise gestützt. Zehn Bewertungen pro Monat im Team-Plan.
500 Scans, 1.000 Pull-Request- und Branch-Checks und 300 KI-Erklärungen pro Monat, gegenüber 100, 400 und 50 im Solo-Plan.
Pilotphase
Vauban befindet sich in der Pilotphase. Die meisten seiner Funktionen sind live. Dies sind diejenigen, die mit einer Grenze leben, mit der Grenze, die kommt, und mit dem, was noch nicht da ist.
Die Shell-Schritte eines pipeline werden überprüft. Über die weiteren Hygieneregeln eines pipeline wurde noch nicht berichtet.
Verfügbar für JavaScript und TypeScript, Python und Go.
Es werden nur die von repository erstellten Bilder und die von ihm deklarierten Basisbilder überprüft.
Nur bei vollständigen repository-Scans. Die Entscheidung einer Person ist ihr überlegen.
Das Urteil ist der Exit-Code des CI-Schritts. Auf der Pull-Anfrage wird nichts gepostet.
Gebaut und noch nicht zur Installation freigegeben.
Single Sign-On für die Benutzer Ihres Unternehmens, Team- und Benutzerverwaltung sowie Kommentare oder Aufgaben zu Ergebnissen sind heute nicht Teil von Vauban.
Pläne und Preise
Vier Pläne, nur für Profis und Unternehmen. Die Preise verstehen sich pro Monat und verstehen sich zuzüglich Mehrwertsteuer. Das Online-Abonnement ist noch nicht geöffnet, daher beginnt jeder Plan mit einem Gespräch mit unserem Team.
Solo
€39pro Monat, ohne Mehrwertsteuer
Für einen Entwickler oder Berater. Alle Funktionen von Vauban, mit Ausnahme der Überprüfung der Agenten-KI.
Team
€149pro Monat, ohne Mehrwertsteuer
Für die Person, die sich um den Code eines Teams kümmert: alles im Solo-Plan, höhere quotas und die Überprüfung der Agenten-KI.
Business
Ab 590 € pro Monat, ohne Mehrwertsteuer
Für ein Unternehmen mit mehr Code und mehr Mitarbeitern. Verkauf nur auf Kostenvoranschlag, niemals online.
Enterprise
Auf Zitat
Für ein Unternehmen, dessen quotas, Benutzer und Bedingungen in einem eigenen Vertrag festgelegt sind.
Die Kontingente gelten monatlich und können nicht übertragen werden. Über einen quota hinaus wird nichts in Rechnung gestellt: Wenn ein Plan zur Neige geht, wechseln Sie zum nächsten. Scans werden auf den Plan der Person angerechnet, die sie gestartet hat, und ein Scan, der mit einer API token gestartet wurde, wird auf den Plan der Person angerechnet, die diesen token erstellt hat.
Wie es funktioniert
Vier Schritte, und der vierte wird bei jeder Pull-Anfrage ausgeführt.
Fügen Sie einen repository von GitHub, GitLab oder Azure DevOps mit einem Zugriff token hinzu. Geben Sie dem token die engsten Rechte an den Funktionen, die Sie benötigen, und ein Ablaufdatum, sofern Ihr Anbieter dies zulässt.
Starten Sie einen Scan von Vauban. Der Code wird in einer isolierten Umgebung gelesen, die am Ende des Laufs gelöscht wird, und jeder repository, dem Sie folgen, wird jeden Tag erneut gescannt.
Jeder repository erhält eine Note von A bis F und einen Aktionsplan. KI erklärt jeden Befund, der Vergleich mit dem vorherigen Scan zeigt, was sich geändert hat, und die Entscheidungen Ihres Teams werden auf die nächsten Scans übertragen.
Erstellen Sie eine API token in Vauban und fügen Sie den in der Anleitung beschriebenen CI-Schritt hinzu. Jede Pull-Anfrage oder jeder Zweig wird anhand Ihrer Entscheidungen und Ausnahmen überprüft, und das Urteil ist der Exit-Code dieses Schritts.
Vauban postet nichts zu Ihren Pull-Requests. Ihr pipeline verliest das Urteil und Ihre Filialregeln entscheiden, ob eine Zusammenführung durchgeführt wird.
Gebaut für
Eine Person und das repositories, um das sie sich kümmern: eine Note, die Liste, was zuerst behoben werden muss, und eine Überprüfung bei jedem Pull-Request.
Ein Unternehmen ohne eigenes Sicherheitsteam sieht, was sein Code preisgibt und was zuerst behoben werden muss, erklärt in einfachen Worten.
Einmal erfasste Entscheidungen und Ausnahmen gelten für alle, die den Zugang zum repository und zur Überprüfung im CI nachweisen.
Warum Vauban
Benannt nach Vauban, dem Militäringenieur Ludwigs XIV., der die Grenzen Frankreichs befestigte und viele Belagerungen seiner Zeit leitete. Er wusste, wo eine Mauer nachgibt, weil er so viele genommen hatte. Anwendungssicherheit funktioniert auf die gleiche Weise: Code lässt sich am besten schützen, indem man ihn so liest, wie ein Angreifer ihn lesen würde.
Vauban wurde in erster Linie für kleine und mittlere Unternehmen geschrieben, die wissen müssen, was ihr Code offenlegt, ohne ein Sicherheitsteam aufzubauen, um dies herauszufinden.
Die Ergebnisse helfen Ihrem Team bei der Entscheidung; Es handelt sich nicht um ein Audit oder eine Zertifizierung. Eine Analyse kann ein Problem melden, das nicht vorhanden ist, oder ein Problem übersehen, weshalb die Entscheidung immer bei einer Person bleibt.
Ihr eigener Code, Ihre Abhängigkeiten, Ihre Konfiguration und die darin verbleibenden Geheimnisse werden gemeinsam gelesen, sodass sich nicht eine Schwachstelle hinter der anderen verbirgt.
Wahrscheinliche Fehlalarme werden beiseite gelegt und jede Entscheidung Ihres Teams wird auf den nächsten Scan und die Pull-Request-Prüfung übertragen.
Ihre Daten werden in der EU verarbeitet und die Standard-KI-Modelle laufen in der EU-Datenzone.
Weder Ihr Code noch die Ergebnisse werden zum Trainieren von KI-Modellen verwendet. Die Ergebnisse mit den darin zitierten Codeauszügen werden aufbewahrt, während Sie repository befolgen.
Das Online-Abonnement ist noch nicht geöffnet. Treffen Sie einen Experten: Wir beantworten Ihre Fragen und erstellen für Sie den passenden Plan.
Treffen Sie einen Experten