Je eerste waarschuwing in drie stappen.
Geef in totaal tien minuten de tijd, twee minuten, om uw stapel aan te geven. Deze pagina beschrijft wat je doet; de API-referentie staat in de technische documentatie.
De volledige gebruikershandleiding
Elk scherm van de applicatie stap voor stap uitgelegd, met geannoteerde schermafbeeldingen en close-ups: account, stapel, waarschuwingen en hoe deze af te handelen, workflows, rapporten, NIS2-compliance, teambeheer en de Partner-ruimte. Open de gebruikershandleiding.
1. Geef je stapel aan
Drie manieren, jouw keuze, en ze zijn te combineren:
- Importeer een SBOM (Softwarestuklijst, de componenteninventaris geproduceerd door uw build-pijplijn) in CycloneDX- of SPDX-indeling. Het is de meest betrouwbare route: de versies erin zijn exact.
- Handmatig invoeren de leverancier, het product en de versie. Wacht twee minuten voor ongeveer tien componenten.
- Detecteer vanaf een openbare URL: wij identificeren de zichtbare technologieën, u bevestigt of corrigeert.
Elke regel wordt vertaald in een CPE-identificatie (Gemeenschappelijke platformopsomming), het naamgevingsschema dat een product en de versie ervan in het CVE-systeem identificeert. Deze identificatie maakt automatisch matchen mogelijk, en het is ook de reden waarom een geschatte versie geschatte waarschuwingen produceert.
“PHP” declareren zonder de versie ervan
“PHP” declareren zonder versie. Je ontvangt dan elke CVE voor elke branch, ook degene die je niet draait: precies de ruis die je probeerde te verwijderen. Verklaar php 8.1.28, niet php.
2. Stel de ruisdrempel in
Standaard ontvangt u alles wat uw stack raakt. De meeste teams schroeven dat in twee stappen terug: een ernstdrempel (vaak CVSS ≥ 7) en een uitzondering die alles doorlaat als de CVE in de KEV-catalogus van CISA staat, dat wil zeggen als misbruik in het wild is vastgesteld.
Orde is belangrijk. CVSS meet potentiële schade; EPSS schat de kans op exploitatie binnen dertig dagen; KEV bevestigt het. Om te begrijpen wat u aan het afstemmen bent, leest u wat CVSS echt meet en wat de KEV-catalogus vereist.
3. Sluit een kanaal aan
Slack, Microsoft Teams en Discord via de inkomende webhook URL van het kanaal, met DKIM ondertekende e-mail, HMAC-ondertekende HTTP-webhook. Een tip uit ervaring: stuur kritische waarschuwingen naar Slack en laat de rest in de dagelijkse opdracht. Als alles in realtime binnenkomt, dempt het team meldingen binnen een week en ben je het voordeel kwijt.
Volgende: automatiseren
Een workflow begint vanaf een trigger (nieuwe CVE op uw stapel, proof of concept gepubliceerd, KEV-lijst, einde van ondersteuning nadert), filtert deze door voorwaarden en voert vervolgens acties uit. U kunt het op een echte CVE laten drogen voordat u het inschakelt.
Aan de machinezijde geeft REST API v1 dezelfde objecten weer: waarschuwingen, CVE-database, inventaris, cases, statistieken. Het is opgenomen in de Pro- en Business-abonnementen, alleen-lezen, met één uitzondering: uw CI-pijplijn kan zijn scanrapporten uploaden. Het meest voorkomende gebruiksscenario is een CI-taak die de implementatie blokkeert zolang een kritieke CVE onverwerkt blijft.
Volledige API-referentie en curl-, Python-, JavaScript- en GitHub Actions-voorbeelden.