Κώδικας Ασφάλεια
Το Vauban είναι η ασφάλεια εφαρμογών για τον κώδικα μικρών και μεσαίων επιχειρήσεων στη Γαλλία και την Ευρώπη. Διαβάζει το repositories στο GitHub, το GitLab και το Azure DevOps, βαθμολογεί το καθένα από το A έως το F, γράφει το σχέδιο δράσης του και ελέγχει κάθε αίτημα έλξης στο CI σας. Το Vauban βρίσκεται στο πιλοτικό του στάδιο.
Κώδικας Ασφάλεια
Το Vauban διαβάζει τον κωδικό του repositories που συνδέετε και δείχνει τι είναι εκτεθειμένο: ελαττώματα στον δικό σας κώδικα, μυστικά που διέρρευσαν, ευάλωτες εξαρτήσεις και επικίνδυνες ρυθμίσεις. Για κάθε repository μετατρέπει τα ευρήματα σε βαθμό από το A έως το F και ένα σχέδιο δράσης και οι αποφάσεις που καταγράφει η ομάδα σας ισχύουν για τις επόμενες σαρώσεις και για τον έλεγχο σε κάθε αίτημα έλξης.
Μια μικρή ομάδα γνωρίζει τι αποκαλύπτει ο κώδικάς της και τι πρέπει να διορθώσει πρώτα, διατηρεί τον έλεγχο κάθε απόφασης και συλλαμβάνει ένα νέο ελάττωμα στο αίτημα έλξης και όχι στην παραγωγή.
Σε κάθε σχέδιο
Το Solo και το Team εκτελούν τις ίδιες αναλύσεις σε κάθε σάρωση. Το σχέδιο ομάδας προσθέτει την αξιολόγηση τεχνητής νοημοσύνης και υψηλότερα quota.
Στατική ανάλυση του κώδικά σας (SAST) και τα μυστικά που διέρρευσαν που αναφέρονται από το πού βρίσκονται και από τον κανόνα που τα εντόπισε, με την τιμή να καλύπτεται εν όλω ή εν μέρει. Αντιμετωπίστε τυχόν μυστικές αναφορές Vauban ως εκτεθειμένες: ανακαλέστε τις και αντικαταστήστε τις.
Τα αρχεία Docker, τα αρχεία Terraform και η διαμόρφωση του CI σας αναλύονται με τον κώδικα.
Γνωστά τρωτά σημεία στις εξαρτήσεις σας, το καθένα με τη σταθερή έκδοση, τον δείκτη γνωστής εκμετάλλευσης και την πιθανότητα EPSS. Η δυνατότητα πρόσβασης δείχνει εάν ο κώδικάς σας φτάνει πραγματικά σε μια ευάλωτη εξάρτηση. Οι εικόνες που δημιουργεί το repository και οι βασικές εικόνες που δηλώνει ελέγχονται επίσης.
Τα στοιχεία ομαδοποιούνται ανά οικογένεια αδειών και η απόφασή σας καταγράφεται σε κάθε άδεια που διαθέτουν. Το SBOM εξάγει σε CycloneDX 1.6 και SPDX 2.3. Μια άδεια που προσδιορίζεται από το Vauban δεν αποτελεί νομική συμβουλή: η απόφαση παραμένει δική σας.
Βαθμός ασφαλείας από A έως F για κάθε repository, σχέδιο δράσης, σύγκριση με την προηγούμενη σάρωση και τάσεις με την πάροδο του χρόνου. Κάθε repository που ακολουθείτε σαρώνεται καθημερινά και αυτές οι σαρώσεις δεν υπολογίζονται στο quota σας. Τα ευρήματα απόδοσης και απορρήτου παρατίθενται επίσης, εκτός του βαθμού.
Σε πλήρεις σαρώσεις repository, τα πιθανά ψευδώς θετικά ταξινομούνται αυτόματα. Η απόφαση ενός ατόμου υπερτερεί αυτής της διαλογής και οι αποφάσεις και οι εξαιρέσεις που καταγράφει η ομάδα σας κοινοποιούνται σε όλους όσοι αποδεικνύουν πρόσβαση στο repository και εφαρμόζονται στον έλεγχο αιτήματος έλξης.
Η τεχνητή νοημοσύνη εξηγεί κάθε εύρημα και ο βοηθός απαντά στις ερωτήσεις σας σχετικά με αυτό και προτείνει μια διόρθωση. Κάθε χρήστης μπορεί να εξυπηρετήσει και τα δύο από τον δικό του πάροχο τεχνητής νοημοσύνης, διαμορφωμένο στο Vauban.
Αποθετήρια σε GitHub, GitLab και Azure DevOps. API tokens για το CI σας, έλεγχος αιτημάτων έλξης και διακλαδώσεων και εξαγωγή SARIF για τα εργαλεία που ήδη χρησιμοποιείτε.
Το σχέδιο της ομάδας
Τα πάντα στο πρόγραμμα Solo, έλεγχος ασφαλείας από μοντέλα AI και περισσότερος χώρος κάθε μήνα.
Τα μοντέλα AI αναζητούν παράκαμψη ελέγχου ταυτότητας, ελαττώματα εξουσιοδότησης, σπασμένη απομόνωση μισθωτή, ένεση prompt, απομακρυσμένη εκτέλεση κώδικα, μη ασφαλή αξιολόγηση και ελαττώματα κρυπτογράφησης. Κάθε εύρημα υποστηρίζεται από ένα αναφερόμενο αρχείο και τα στοιχεία του. Δέκα κριτικές το μήνα στο πλάνο της ομάδας.
500 σαρώσεις, 1.000 pull-request και έλεγχοι διακλάδωσης και 300 εξηγήσεις AI το μήνα, έναντι 100, 400 και 50 στο σχέδιο Solo.
Πιλοτικό στάδιο
Το Vauban βρίσκεται στο πιλοτικό του στάδιο. Τα περισσότερα από τα χαρακτηριστικά του είναι ζωντανά. Αυτά είναι που είναι ζωντανά με ένα όριο, αυτό που έρχεται, και αυτό που δεν υπάρχει ακόμα.
Τα βήματα του κελύφους ενός pipeline ελέγχονται. Οι άλλοι κανόνες υγιεινής ενός pipeline δεν έχουν αναφερθεί ακόμη.
Διαθέσιμο για JavaScript και TypeScript, Python και Go.
Ελέγχονται μόνο οι εικόνες που δημιουργεί το repository και οι βασικές εικόνες που δηλώνει.
Μόνο για πλήρεις σαρώσεις repository. Η απόφαση ενός ατόμου το ξεπερνά.
Η ετυμηγορία είναι ο κωδικός εξόδου του βήματος CI. Δεν δημοσιεύεται τίποτα στο αίτημα έλξης.
Κατασκευάστηκε και δεν έχει ακόμη δημοσιευτεί για εγκατάσταση.
Η απλή σύνδεση για τους χρήστες της εταιρείας σας, η ομάδα και η διαχείριση χρηστών, καθώς και τα σχόλια ή οι αναθέσεις σχετικά με τα ευρήματα δεν αποτελούν μέρος του Vauban σήμερα.
Σχέδια και τιμές
Τέσσερα σχέδια, μόνο για επαγγελματίες και εταιρείες. Οι τιμές είναι ανά μήνα και δεν περιλαμβάνουν ΦΠΑ. Η ηλεκτρονική συνδρομή δεν έχει ανοίξει ακόμα, επομένως κάθε σχέδιο ξεκινά με μια συνομιλία με την ομάδα μας.
Solo
€39ανά μήνα, χωρίς ΦΠΑ
Για έναν προγραμματιστή ή σύμβουλο. Κάθε χαρακτηριστικό του Vauban, εκτός από την κριτική τεχνητής νοημοσύνης.
Team
€149ανά μήνα, χωρίς ΦΠΑ
Για το άτομο που φροντίζει τον κωδικό μιας ομάδας: τα πάντα στο σχέδιο Solo, υψηλότερα quota και η κριτική τεχνητής νοημοσύνης.
Business
Από 590€ το μήνα, χωρίς ΦΠΑ
Για μια εταιρεία με περισσότερους κωδικούς και περισσότερους ανθρώπους. Πωλείται μόνο σε προσφορά, ποτέ online.
Enterprise
Σε προσφορά
Για μια εταιρεία της οποίας το quotas, οι χρήστες και οι όροι ορίζονται σε μια δική της σύμβαση.
Οι ποσοστώσεις είναι μηνιαίες και δεν μεταφέρονται. Τίποτα δεν χρεώνεται πέρα από ένα quota: όταν ένα σχέδιο είναι μικρό, μεταβαίνετε στο επόμενο. Οι σαρώσεις υπολογίζονται στο σχέδιο του ατόμου που τις ξεκινά και μια σάρωση ξεκίνησε με ένα API token έναντι του σχεδίου του ατόμου που δημιούργησε αυτό το token.
Πώς λειτουργεί
Τέσσερα βήματα και το τέταρτο τρέχει σε κάθε αίτημα έλξης.
Προσθέστε ένα repository από το GitHub, το GitLab ή το Azure DevOps με πρόσβαση token. Δώστε στο token τα στενότερα δικαιώματα που χρειάζεστε για τις λειτουργίες που χρησιμοποιείτε και μια ημερομηνία λήξης όπου το επιτρέπει ο πάροχος σας.
Ξεκινήστε μια σάρωση από το Vauban. Ο κώδικας διαβάζεται σε ένα απομονωμένο περιβάλλον που διαγράφεται στο τέλος της εκτέλεσης και κάθε repository που ακολουθείτε σαρώνεται ξανά κάθε μέρα.
Κάθε repository παίρνει βαθμό από A έως F και ένα σχέδιο δράσης. Η τεχνητή νοημοσύνη εξηγεί κάθε εύρημα, η σύγκριση με την προηγούμενη σάρωση δείχνει τι άλλαξε και οι αποφάσεις της ομάδας σας μεταφέρονται στις επόμενες σαρώσεις.
Δημιουργήστε ένα API token στο Vauban και προσθέστε το βήμα CI που περιγράφει ο οδηγός του. Κάθε αίτημα έλξης ή διακλάδωση ελέγχεται σε σχέση με τις αποφάσεις και τις εξαιρέσεις σας και η ετυμηγορία είναι ο κωδικός εξόδου αυτού του βήματος.
Το Vauban δεν δημοσιεύει τίποτα για τα αιτήματά σας για έλξη. Το pipeline διαβάζει την ετυμηγορία και οι κανόνες του κλάδου σας αποφασίζουν εάν θα πραγματοποιηθεί μια συγχώνευση.
Κατασκευάστηκε για
Ένα άτομο και το repositories που φροντίζουν: ένας βαθμός, η λίστα με το τι πρέπει να διορθωθεί πρώτα και ένας έλεγχος σε κάθε αίτημα έλξης.
Μια επιχείρηση χωρίς δική της ομάδα ασφαλείας βλέπει τι αποκαλύπτει ο κώδικάς της και τι πρέπει να διορθώσει πρώτα, εξηγείται με απλά λόγια.
Οι αποφάσεις και οι εξαιρέσεις που καταγράφονται μία φορά ισχύουν για όλους όσους αποδεικνύουν πρόσβαση στο repository και στον έλεγχο στο CI.
Γιατί Vauban
Πήρε το όνομά του από τον Vauban, τον στρατιωτικό μηχανικό του Λουδοβίκου XIV, ο οποίος οχύρωσε τα σύνορα της Γαλλίας και ηγήθηκε πολλών από τις πολιορκίες της εποχής του. Ήξερε πού υποχωρεί ένας τοίχος γιατί είχε πάρει τόσα πολλά. Η ασφάλεια της εφαρμογής λειτουργεί με τον ίδιο τρόπο: ο κώδικας υπερασπίζεται καλύτερα διαβάζοντάς τον όπως θα έκανε ένας εισβολέας.
Το Vauban είναι γραμμένο πρώτα για μικρές και μεσαίες επιχειρήσεις που πρέπει να γνωρίζουν τι αποκαλύπτει ο κώδικάς τους χωρίς να δημιουργήσουν μια ομάδα ασφαλείας για να το ανακαλύψουν.
Τα ευρήματά του βοηθούν την ομάδα σας να αποφασίσει. δεν είναι έλεγχος ή πιστοποίηση. Μια ανάλυση μπορεί να αναφέρει ένα πρόβλημα που δεν υπάρχει, ή να χάσει ένα που είναι, γι' αυτό η απόφαση παραμένει πάντα με ένα άτομο.
Ο δικός σας κώδικας, οι εξαρτήσεις σας, η διαμόρφωσή σας και τα μυστικά που έχουν απομείνει σε αυτά διαβάζονται μαζί, έτσι ώστε το ένα αδύνατο σημείο να μην κρύβεται πίσω από το άλλο.
Τα πιθανά ψευδώς θετικά παραμερίζονται και κάθε απόφαση που λαμβάνει η ομάδα σας μεταφέρεται στην επόμενη σάρωση και στον έλεγχο αιτήματος έλξης.
Τα δεδομένα σας υποβάλλονται σε επεξεργασία στην ΕΕ και τα προεπιλεγμένα μοντέλα τεχνητής νοημοσύνης εκτελούνται στη ζώνη δεδομένων της ΕΕ.
Ούτε ο κωδικός σας ούτε τα αποτελέσματα χρησιμοποιούνται για την εκπαίδευση μοντέλων AI. Τα αποτελέσματα, με τα αποσπάσματα κώδικα που παραθέτουν, διατηρούνται όσο ακολουθείτε το repository.
Η ηλεκτρονική συνδρομή δεν έχει ανοίξει ακόμα. Γνωρίστε έναν ειδικό: απαντάμε στις ερωτήσεις σας και σας καθορίζουμε το σχέδιο που ταιριάζει.
Γνωρίστε έναν ειδικό