Oryon Flow face à XBOW

1. 01

   Aller jusqu’à la modification du code

   Flow intègre des correctifs candidats et des PR à examiner ; XBOW documente les mesures que votre équipe applique puis fait retester.

2. 02

   Enquêter dans un laboratoire reconstruit

   Flow part du dépôt et prépare une cible isolée. XBOW évalue l’application déployée que vous fournissez.

3. 03

   Relier les changements aux exigences

   Flow conserve les preuves techniques par exigence et compare le code actuel à la projection des PR vérifiées.

Les fonctionnalités, côte à côte.

Le tableau décrit les fonctions documentées ; il ne mesure ni la performance ni la qualité de détection. Les fonctions commerciales peuvent dépendre du produit, de l’offre et de la configuration.

Votre besoin	Oryon Flow	XBOW
Investigation du dépôt	✓Documenté Code, paquets, infrastructure et exécution réunis dans une même investigation.	+Facultatif / selon l’offre Le téléversement de code et de documentation peut orienter l’évaluation ; il est facultatif. ↗
Environnement de test reconstruit	✓Documenté Reconstruit l’application depuis le dépôt original dans des environnements éphémères et isolés.	—Non documenté dans ce périmètre Teste un déploiement fourni par le client. La reconstruction automatique depuis le dépôt n’est pas établie dans ces documents. ↗
Vérification des constats	✓Documenté Méthode de preuve revue indépendamment : confirmé, réfuté ou non concluant. Ce qui reste à démontrer demeure ouvert.	✓Documenté Les preuves d’exploitation utilisent des validateurs déterministes ou des agents selon la classe ; les constats validés et informatifs sont distincts. ↗
Correctifs étayés par des tests	✓Documenté Candidats isolés ; vérifie sécurité et comportement légitime avant une revue indépendante.	—Non documenté dans ce périmètre Documente des mesures correctives et des contre-tests après intervention du client ; la génération de correctifs n’est pas établie. ↗
Pull requests à examiner	✓Documenté Regroupe les changements par cause et compatibilité dans des PR à examiner. Votre équipe décide du merge.	—Non documenté dans ce périmètre Documente le suivi de tickets externes ; la publication de PR correctives n’est pas établie dans ces sources. ↗
Preuves techniques traçables	✓Documenté Relie preuves et changements aux exigences techniques ; compare l’état actuel à la projection issue des PR vérifiées.	✓Documenté Preuves, traces, rapports de pentest, synthèses de direction et lettres d’attestation. ↗
Analyse source + exécution	✓Documenté Relie la source, la dépendance, l’infrastructure et les observations dynamiques dans la même enquête.	+Facultatif / selon l’offre Le code source envoyé guide les attaques en direct ; l'existence d'un scanner SAST distinct n'est pas établie. ↗
Test de rôle authentifié	✓Documenté Vérifie les sessions légitimes, les rôles et les limites des locataires ; les sessions inaccessibles ou expirées restent des lacunes de couverture.	+Facultatif / selon l’offre La version préliminaire publique de IDOR prend en charge un compte principal et jusqu'à quatre comptes supplémentaires avec contexte de rôle. ↗
Validation séparée	✓Documenté L’agent qui propose une conclusion ou une correction ne la valide pas lui-même. Une étape de vérification distincte évalue les preuves conservées.	✓Documenté Les validateurs non-IA confirment les classes prises en charge ; d'autres classes utilisent la validation d'agent. ↗
Contrôles de régression fonctionnelle	✓Documenté Compare les preuves de sécurité, les contrôles légitimes et les tests fonctionnels disponibles avec l'original avant la livraison.	—Non documenté dans ce périmètre Les nouveaux tests vérifient une atténuation déployée ; les tests fonctionnels d'un correctif proposé ne sont pas documentés. ↗
Corrections de dépendances	✓Documenté Les candidats à la réparation peuvent mettre à jour le graphe de dépendances et adapter le code de l'application, sous réserve de validation.	—Non documenté dans ce périmètre Fournit des instructions d’atténuation ; les mises à jour automatiques des packages ne sont pas établies dans ce flux de travail. ↗
Cartographie des exigences techniques	✓Documenté Relie les preuves conservées aux exigences techniques sélectionnées et distingue la couverture actuelle de celle attendue après les modifications proposées. Il ne s’agit pas d’une certification de l’organisation.	—Non documenté dans ce périmètre Les rapports et attestations soutiennent les audits ; la cartographie exigence par exigence n’est pas établie. ↗

Périmètre du produit