Varnost kode
Vauban je varnost aplikacij za kodeks malih in srednje velikih podjetij v Franciji in Evropi. Prebere vaš repositories na GitHub, GitLab in Azure DevOps, vsakega oceni od A do F, napiše svoj akcijski načrt in preveri vsako zahtevo za vleko v vašem CI. Vauban je v pilotni fazi.
Varnost kode
Vauban prebere kodo repositories, ki jo povežete, in pokaže, kaj je izpostavljeno: napake v vaši kodi, razkrite skrivnosti, ranljive odvisnosti in tvegana konfiguracija. Za vsak repository ugotovitve spremeni v oceno od A do F in akcijski načrt, odločitve, ki jih zabeleži vaša ekipa, pa veljajo za naslednja skeniranja in preverjanje pri vsaki zahtevi za vleko.
Majhna ekipa ve, kaj njena koda razkrije in kaj mora najprej popraviti, obdrži nadzor nad vsako odločitvijo in ujame novo napako na zahtevo po vleku in ne v produkciji.
V vsakem načrtu
Solo in Team izvajata enake analize pri vsakem skeniranju. Načrt ekipe doda agentski pregled AI in višje quota.
Statična analiza vaše kode (SAST) in razkrite skrivnosti, poročane glede na to, kje so in glede na pravilo, ki jih je odkrilo, pri čemer je vrednost v celoti ali delno prikrita. Vsa tajna poročila Vauban obravnavajte kot razkrita: prekličite jih in zamenjajte.
Datoteke Docker, datoteke Terraform in konfiguracija vašega CI se analizirajo s kodo.
Znane ranljivosti v vaših odvisnostih, vsaka s fiksno različico, znano-izkoriščeno oznako in verjetnostjo EPSS. Dosegljivost pokaže, ali vaša koda dejansko doseže ranljivo odvisnost. Preverjene so tudi slike, ki jih zgradi repository, in osnovne slike, ki jih objavi.
Komponente, razvrščene po družini licenc, in vaša odločitev, zapisana na vsaki licenci, ki jo nosijo. Izvozi SBOM v CycloneDX 1.6 in SPDX 2.3. Licenca, označena z Vauban, ni pravni nasvet: odločitev ostaja vaša.
Varnostna stopnja od A do F za vsak repository, akcijski načrt, primerjava s prejšnjim skeniranjem in trendi skozi čas. Vsak repository, ki mu sledite, je pregledan vsak dan in ta skeniranja se ne štejejo v vaš quota. Izven ocene so navedene tudi ugotovitve glede učinkovitosti in zasebnosti.
Pri popolnih pregledih repository so verjetni lažni pozitivni rezultati samodejno razvrščeni. Odločitev osebe presega to triažo, odločitve in izjeme, ki jih zabeleži vaša ekipa, pa so v skupni rabi z vsemi, ki dokažejo dostop do repository, in se uporabijo pri preverjanju zahteve po vleku.
AI razloži vsako ugotovitev, pomočnik pa odgovori na vaša vprašanja o njej in predlaga popravek. Vsak uporabnik ima lahko oboje oskrbovano s svojim ponudnikom umetne inteligence, ki je konfiguriran v Vauban.
Repozitoriji na GitHub, GitLab in Azure DevOps. API tokens za vaš CI, preverjanje vlečnih zahtev in vej ter izvoz SARIF za orodja, ki jih že uporabljate.
Načrt ekipe
Vse v načrtu Solo, varnostni pregled z modeli AI in več prostora vsak mesec.
Modeli umetne inteligence iščejo obvod pri preverjanju pristnosti, napake v avtorizaciji, prekinjeno izolacijo najemnika, vbrizgavanje prompt, oddaljeno izvajanje kode, nevarno vrednotenje in napake v kriptografiji. Vsaka ugotovitev je podprta s citirano datoteko in njenimi dokazi. Deset pregledov na mesec v načrtu ekipe.
500 skeniranj, 1000 preverjanj vlečnih zahtev in podružnic ter 300 razlag AI na mesec, v primerjavi s 100, 400 in 50 v načrtu Solo.
Pilotna stopnja
Vauban je v pilotni fazi. Večina njegovih funkcij je v živo. To so tiste, ki živijo z mejo, tiste, ki prihajajo, in tiste, ki jih še ni.
Koraki lupine pipeline so preverjeni. O drugih higienskih pravilih pipeline še ne poročajo.
Na voljo za JavaScript in TypeScript, Python in Go.
Preverjene so samo slike, ki jih zgradi repository, in osnovne slike, ki jih deklarira.
Samo pri popolnih pregledih repository. Človekova odločitev je boljša od nje.
Razsodba je izhodna koda koraka CI. Nič ni objavljeno na zahtevi za vlečenje.
Zgrajeno in še ni objavljeno za namestitev.
Enotna prijava za uporabnike vašega podjetja, upravljanje ekipe in uporabnikov ter komentarji ali dodelitve ugotovitev danes niso del Vauban.
Načrti in cene
Štirje načrti, samo za strokovnjake in podjetja. Cene so na mesec in ne vključujejo DDV. Spletna naročnina še ni odprta, zato se vsak načrt začne s pogovorom z našo ekipo.
Solo
€39na mesec, brez DDV
Za enega razvijalca ali svetovalca. Vse funkcije Vauban, razen agentskega pregleda AI.
Team
€149na mesec, brez DDV
Za osebo, ki skrbi za kodo ekipe: vse v načrtu Solo, višji quota in agentski pregled AI.
Business
Od 590 € na mesec, brez DDV
Za podjetje z več kodo in več ljudmi. Prodaja samo po predračunu, nikoli na spletu.
Enterprise
Na citat
Za podjetje, katerega quotas so uporabniki in pogoji določeni v lastni pogodbi.
Kvote so mesečne in se ne prenašajo. Nič se ne zaračuna prek quota: ko zmanjka načrta, preidete na naslednjega. Pregledi se štejejo glede na načrt osebe, ki jih je zagnala, in pregled, začet z API-jem token, glede na načrt osebe, ki je ustvarila ta token.
Kako deluje
Štirje koraki, četrti pa teče na vsako zahtevo po vleki.
Dodajte repository iz GitHub, GitLab ali Azure DevOps z dostopom token. Dajte token najožje pravice za funkcije, ki jih potrebujete, in datum poteka, kjer to dovoljuje vaš ponudnik.
Začnite skenirati iz Vauban. Koda se prebere v izoliranem okolju, ki se ob koncu izvajanja izbriše, in vsak repository, ki mu sledite, se vsak dan znova pregleda.
Vsak repository dobi oceno od A do F in akcijski načrt. AI pojasni vsako ugotovitev, primerjava s prejšnjim pregledom pokaže, kaj se je spremenilo, odločitve vaše ekipe pa se prenesejo na naslednje preglede.
Ustvarite API token v Vauban in dodajte korak CI, ki ga opisuje vodnik. Vsaka vlečna zahteva ali veja se preveri glede na vaše odločitve in izjeme, razsodba pa je izhodna koda tega koraka.
Vauban ne objavi ničesar na vaših zahtevah za vlečenje. Vaš pipeline prebere razsodbo, pravila vaše veje pa odločajo, ali se združitev nadaljuje.
Zgrajen za
Ena oseba in repositories, za katerega skrbita: ocena, seznam, kaj je treba najprej popraviti, in preverjanje vsake zahteve po vleku.
Podjetje brez lastne varnostne ekipe vidi, kaj razkrije njegova koda in kaj mora najprej popraviti, razloženo z jasnimi besedami.
Enkrat zabeležene odločitve in izjeme veljajo za vse, ki dokažejo dostop do repository in preverjanja v CI.
Zakaj Vauban
Poimenovan po Vauban, vojaškem inženirju Ludvika XIV., ki je utrdil meje Francije in vodil številna obleganja svojega časa. Vedel je, kje zid popusti, ker jih je vzel toliko. Varnost aplikacij deluje na enak način: kodo je najbolje zaščititi tako, da jo preberete tako, kot bi jo napadalec.
Vauban je najprej napisan za mala in srednje velika podjetja, ki morajo vedeti, kaj razkriva njihova koda, ne da bi za to ugotovili varnostno ekipo.
Njegove ugotovitve vaši ekipi pomagajo pri odločitvi; niso revizija ali certificiranje. Analiza lahko sporoči težavo, ki je ni, ali zgreši tisto, ki je, zato odločitev vedno ostane na človeku.
Vaša lastna koda, vaše odvisnosti, vaša konfiguracija in skrivnosti, ki ostanejo v njih, se berejo skupaj, tako da se ena šibka točka ne skriva za drugo.
Verjetni lažni pozitivni rezultati so odloženi in vsaka odločitev, ki jo sprejme vaša ekipa, se prenese na naslednje skeniranje in preverjanje zahteve po vleku.
Vaši podatki se obdelujejo v EU, privzeti modeli AI pa se izvajajo v podatkovnem območju EU.
Niti vaša koda niti rezultati se ne uporabljajo za usposabljanje modelov AI. Rezultati z odlomki kode, ki jih navajajo, se hranijo, dokler spremljate repository.
Spletna naročnina še ni odprta. Spoznajte strokovnjaka: odgovorimo na vaša vprašanja in vam pripravimo načrt, ki vam ustreza.
Spoznajte strokovnjaka