Безопасность кода
Vauban — это безопасность приложений для кода малого и среднего бизнеса во Франции и Европе. Он читает ваш repositories на GitHub, GitLab и Azure DevOps, оценивает каждый из них от A до F, пишет свой план действий и проверяет каждый запрос на включение в вашем CI. Vauban находится на пилотной стадии.
Безопасность кода
Vauban считывает код repositories, который вы подключаете, и показывает, что обнаружено: недостатки в вашем собственном коде, утечка секретов, уязвимые зависимости и рискованная конфигурация. Для каждого repository результаты преобразуются в оценку от А до F и план действий, а решения, которые записывает ваша команда, применяются к следующим сканированиям и проверкам каждого запроса на включение.
Небольшая команда знает, что раскрывает ее код и что нужно исправить в первую очередь, контролирует каждое решение и обнаруживает новую ошибку в запросе на включение, а не в рабочей среде.
В каждом плане
Соло и Команда проводят одинаковый анализ при каждом сканировании. В план «Группа» добавлена агентская проверка ИИ и выше quota.
Статический анализ вашего кода (SAST) и утечка секретов, сообщаемая с указанием места их нахождения и правила, которое их обнаружило, с полным или частичным маскированием значения. Считайте любые секретные отчеты Vauban открытыми: отзовите их и замените.
Файлы Dockerfile, файлы Terraform и конфигурация вашего CI анализируются с помощью кода.
Известные уязвимости в ваших зависимостях, каждая из которых имеет фиксированную версию, маркер известной эксплуатации и вероятность EPSS. Достижимость показывает, действительно ли ваш код достигает уязвимой зависимости. Также проверяются образы, создаваемые repository, и объявленные им базовые образы.
Компоненты сгруппированы по семействам лицензий, и ваше решение записано для каждой лицензии, которую они имеют. SBOM экспортируется в CycloneDX 1.6 и SPDX 2.3. Лицензия, указанная Vauban, не является юридической консультацией: решение остается за вами.
Уровень безопасности от A до F для каждого repository, план действий, сравнение с предыдущим сканированием и тенденции с течением времени. Каждый repository, на который вы подписаны, сканируется каждый день, и эти сканирования не учитываются в вашем quota. Результаты производительности и конфиденциальности также перечислены вне оценки.
При полном сканировании repository вероятные ложные срабатывания отсеиваются автоматически. Решение человека превосходит эту сортировку, а решения и исключения, которые записывает ваша команда, передаются всем, кто подтверждает доступ к repository, и применяются к проверке запроса на включение.
ИИ объясняет каждый вывод, а помощник отвечает на ваши вопросы и предлагает исправление. Оба пользователя могут обслуживаться собственным поставщиком искусственного интеллекта, настроенным в Vauban.
Репозитории на GitHub, GitLab и Azure DevOps. API tokens для вашей CI, проверка запросов на включение и ветвей, а также экспорт SARIF для инструментов, которые вы уже используете.
План команды
Все, что есть в плане Solo, проверка безопасности моделями искусственного интеллекта и больше места каждый месяц.
Модели искусственного интеллекта ищут обход аутентификации, недостатки авторизации, нарушенную изоляцию арендаторов, внедрение prompt, удаленное выполнение кода, небезопасную оценку и недостатки криптографии. Каждый вывод подкреплен цитируемым файлом и его доказательствами. Десять обзоров в месяц в плане Team.
500 сканирований, 1000 пул-реквестов и проверок ветвей и 300 объяснений ИИ в месяц против 100, 400 и 50 в плане Solo.
Пилотный этап
Vauban находится на пилотной стадии. Большинство его функций активны. Это те, которые живут с лимитом, те, которые грядут, и те, которых еще нет.
Проверяются шаги оболочки pipeline. Другие правила гигиены pipeline пока не сообщаются.
Доступно для JavaScript и TypeScript, Python и Go.
Проверяются только образы, которые создает repository, и базовые образы, которые он объявляет.
Только при полном сканировании repository. Решение человека превосходит его.
Вердикт — это код завершения шага CI. В запросе на включение ничего не публикуется.
Создано и еще не опубликовано для установки.
Единый вход для пользователей вашей компании, управление командой и пользователями, а также комментарии или назначения результатов сегодня не являются частью Vauban.
Планы и цены
Четыре плана только для профессионалов и компаний. Цены указаны за месяц и не включают НДС. Онлайн-подписка еще не открыта, поэтому каждый план начинается с разговора с нашей командой.
Solo
€39в месяц, без НДС
Для одного разработчика или консультанта. Все функции Vauban, кроме проверки агентского ИИ.
Team
€149в месяц, без НДС
Для человека, который следит за кодом команды: все в плане Solo, более высокие quota и агентская проверка ИИ.
Business
От €590 в месяц, без НДС
Для компании с большим количеством кода и большим количеством людей. Продается только по цене, а не онлайн.
Enterprise
По цитате
Для компании, чьи quotas, пользователи и условия установлены в ее собственном контракте.
Квоты являются ежемесячными и не переносятся. Ни за что не выставляется счет, кроме quota: когда план заканчивается, вы переходите к следующему. Сканирования учитываются по плану человека, который их запускает, а сканирование, начатое с API token, по плану человека, создавшего этот token.
Как это работает
Четыре шага, четвертый выполняется при каждом запросе на включение.
Добавьте repository из GitHub, GitLab или Azure DevOps с помощью доступа token. Предоставьте token самые узкие права на необходимые вам функции и дату истечения срока действия, если это разрешено вашим провайдером.
Запустите сканирование с Vauban. Код считывается в изолированной среде, которая удаляется в конце выполнения, и каждый repository, на который вы подписаны, сканируется снова каждый день.
Каждый repository получает оценку от A до F и план действий. ИИ объясняет каждый результат, сравнение с предыдущим сканированием показывает, что изменилось, а решения вашей команды переносятся на следующие сканирования.
Создайте API token в Vauban и добавьте шаг CI, описанный в его руководстве. Каждый запрос на включение или ветвь проверяется на соответствие вашим решениям и исключениям, а вердиктом является код завершения этого шага.
Vauban ничего не публикует в ваших запросах на включение. Ваш pipeline читает вердикт, и правила вашей ветки решают, будет ли происходить слияние.
Создан для
Один человек и repositories, за которым он присматривает: оценка, список того, что исправить в первую очередь, и проверка каждого пул-реквеста.
Компания, не имеющая собственной команды безопасности, видит, что раскрывает ее код и что нужно исправить в первую очередь, и объясняет это простыми словами.
Решения и исключения, зафиксированные один раз, распространяются на всех, кто докажет доступ к repository, и к проверке в CI.
Почему Vauban
Назван в честь Vauban, военного инженера Людовика XIV, который укрепил границы Франции и руководил многими осадами своего времени. Он знал, где стена рушится, потому что он взял так много. Безопасность приложений работает таким же образом: код лучше всего защитить, прочитав его так, как это сделал бы злоумышленник.
Vauban написан в первую очередь для малых и средних предприятий, которым необходимо знать, что раскрывает их код, без необходимости создания группы безопасности для выяснения этого.
Результаты исследования помогут вашей команде принять решение; они не являются аудитом или сертификацией. Анализ может сообщить о проблеме, которой нет, или упустить ту, которая есть, поэтому решение всегда остается за человеком.
Ваш собственный код, ваши зависимости, ваша конфигурация и оставленные в них секреты читаются вместе, поэтому одно слабое место не скрывается за другим.
Вероятные ложные срабатывания отбрасываются, и каждое решение, принимаемое вашей командой, переносится на следующее сканирование и проверку pull-request.
Ваши данные обрабатываются в ЕС, а модели искусственного интеллекта по умолчанию работают в зоне данных ЕС.
Ни ваш код, ни результаты не используются для обучения моделей ИИ. Результаты вместе с приведенными в них выдержками из кода сохраняются, пока вы следуете repository.
Онлайн-подписка еще не открыта. Познакомьтесь с экспертом: мы ответим на ваши вопросы и подберем для вас подходящий план.
Познакомьтесь с экспертом