Gestió de vulnerabilitats: saber quines importen i tancar-les
Escaneig continu d'imatges, dependències i sistemes, prioritat per risc real, pegats verificats i un informe mensual que serveix en auditories i en els qüestionaris de seguretat dels vostres clients.
Eines habituals
- Wazuh
- WordPress
En resum
Gestionar vulnerabilitats és trobar les que afecten la vostra plataforma, decidir quines importen de veritat i tancar-les amb la prova que estan tancades. Escanegem de manera contínua imatges, dependències i sistemes amb Trivy i Grype, prioritzem per risc real i no només per la puntuació CVSS, apliquem i verifiquem els pegats, mantenim l'inventari de programari (SBOM) i us lliurem un informe mensual.
- Idiomes
- Castellà, català o anglés
- Resposta
- El següent dia feiner, en horari laboral
- Mètode
- Al vostre compte i al vostre repositori, en codi i documentat
Què inclou
- Escaneig continu amb Trivy i Grype: imatges, dependències i sistemes.
- Escaneig al pipeline de CI/CD, abans d'arribar a producció.
- Prioritat per risc real, no només per la puntuació CVSS.
- Pegats en una finestra pactada, verificats amb un nou escaneig.
- Inventari de programari (SBOM) de cada imatge i servei.
- Justificació i pla de cada vulnerabilitat que queda oberta.
- Informe mensual per a ISO 27001, ENS i qüestionaris de clients.
Per a qui és?
Per a empreses de programari que escanegen i s’ofeguen en resultats, o que no escanegen i comencen a necessitar demostrar que ho fan:
- L’escàner del registry o del pipeline torna centenars de vulnerabilitats i ningú no sap per on començar.
- Un client us envia un qüestionari de seguretat que pregunta com gestioneu les vulnerabilitats.
- Esteu preparant ISO 27001 o l’ENS i necessiteu evidències mes a mes.
- Les imatges base i els sistemes fa mesos que no s’actualitzen.
Què fem cada mes?
Escanejar
De manera contínua, imatges de contenidor, dependències i sistemes amb Trivy i Grype, també al pipeline de CI/CD.
Prioritzar
Per risc real: si està exposat a internet, si hi ha explotació coneguda i quines dades podria abastar. No només per la puntuació CVSS.
Aplicar pegats
Imatges base, sistemes i components de plataforma en una finestra pactada, amb marxa enrere; les dependències de l’aplicació, en una merge request per al vostre equip.
Verificar
Un nou escaneig confirma que la vulnerabilitat ha desaparegut de veritat, no només que s’ha aplicat el pegat.
Informar
Trobades, corregides i pendents, cada pendent amb la seua justificació i el seu pla, i l’inventari de programari (SBOM) al dia.
Què rebeu?
Un informe mensual que s’entén sense ser expert i que serveix tal qual com a evidència:
Trobades i corregides
Quantes se n’han detectat, quantes s’han tancat i verificat, i on eren.
Pendents amb justificació
Per què continua oberta cadascuna, quin risc real té i quan es tanca.
Inventari de programari (SBOM)
Quins components i versions porta cada imatge i servei.
És la mateixa secció de vulnerabilitats que va a l’exemple d’informe mensual, amb dades fictícies. Us serveix per a les auditories d’ISO 27001 o de l’ENS i per a respondre els qüestionaris de seguretat que us envien els vostres clients.
Com es contracta?
Va inclosa en SRE com a servei. Si no necessiteu el servei complet, es contracta per separat des de 300 €/mes, segons el nombre d’imatges, serveis i entorns (preus orientatius, sense IVA). Si voleu saber abans d’on partiu, l’auditoria de fiabilitat i seguretat inclou una primera revisió d’imatges i dependències.
Tot es fa al vostre compte del núvol, al vostre registry i al vostre repositori: els resultats i l’inventari són vostres.
Preguntes freqüents
Per què no n'hi ha prou amb la puntuació CVSS?
Perquè la puntuació mesura la gravetat en abstracte, no en la vostra plataforma. Una vulnerabilitat crítica en una llibreria que no es fa servir o en un servei sense accés des de fora pot esperar; una de mitjana en una cosa exposada a internet i amb explotació coneguda, no. Prioritzem amb aquest context i ho deixem escrit.
Serveix per a ISO 27001 o ENS?
Sí, com a evidència: l'informe mensual mostra què s'ha trobat, què s'ha corregit, què queda pendent i per què, que és el que solen demanar els controls de gestió de vulnerabilitats tècniques. No som entitat certificadora.
Toqueu el codi de la nostra aplicació?
Actualitzem imatges base, sistemes i components de plataforma. Quan la correcció és en una dependència de la vostra aplicació, preparem el canvi en una merge request i el vostre equip el revisa i el valida amb les seues proves abans de desplegar-lo.
Expliqueu-nos el vostre cas
En una trucada gratuïta de 20 minuts veiem on sou i per on començar. Sense compromís.
Revisat el