Oryon Flow a Shannon (Keygraph)

1. 01

   Proces aż do naprawy

   Flow integruje ponownie zweryfikowane poprawki i ich dostarczenie. Shannon OSS generuje raport; Keygraph oferuje PR-y w edycjach komercyjnych.

2. 02

   Aplikacja też jest odtwarzana

   Flow przygotowuje cel w laboratorium i izoluje workery. Shannon otrzymuje repozytorium i już działającą aplikację.

3. 03

   Jasny obraz otwartej pracy

   Flow zachowuje wyniki potwierdzone, obalone i nierozstrzygnięte, wiążąc je z obecnymi i przewidywanymi kontrolami technicznymi.

Możliwości obok siebie.

Tabela opisuje udokumentowane funkcje; nie mierzy wydajności ani jakości wykrywania. Funkcje komercyjne mogą zależeć od produktu, planu i konfiguracji.

Czego potrzebujesz	Oryon Flow	Shannon (Keygraph)
Badanie repozytorium	✓Udokumentowane Kod, pakiety, infrastruktura i działanie aplikacji połączone w jednym badaniu.	✓Udokumentowane Analizuje repozytorium, architekturę i przepływy danych, aby ukierunkować ataki na działającą aplikację. ↗
Odtworzone środowisko testowe	✓Udokumentowane Odtwarza aplikację z oryginalnego repozytorium w tymczasowych, izolowanych środowiskach.	—Nieudokumentowane w tym zakresie Worker jest tymczasowy i izolowany; działający cel dostarcza się osobno. Jego automatyczne odtworzenie nie jest potwierdzone. ↗
Weryfikacja ustaleń	✓Udokumentowane Niezależnie oceniona metoda dowodzenia: potwierdzone, obalone lub nierozstrzygnięte. Brak dowodu pozostaje otwartą kwestią.	✓Udokumentowane Raportuje podatności wykazane przez wykorzystanie z odtwarzalnymi dowodami. ↗
Poprawki poparte testami	✓Udokumentowane Izolowani kandydaci; sprawdza bezpieczeństwo i prawidłowe zachowanie przed niezależnym przeglądem.	↗Inny produkt z pakietu Poprawki z ponowną analizą i odtworzeniem exploita należą do Keygraph Pro i Enterprise, a nie Shannon OSS. ↗
Pull requesty do przeglądu	✓Udokumentowane Grupuje zmiany według przyczyny i zgodności w PR-y do przeglądu. Zespół decyduje o scaleniu.	↗Inny produkt z pakietu Keygraph Pro i Enterprise tworzą PR-y z poprawkami; Shannon OSS dostarcza raporty dla każdego uruchomienia. ↗
Identyfikowalne dowody techniczne	✓Udokumentowane Wiąże dowody i zmiany z wymaganiami technicznymi; porównuje obecny stan z projekcją zweryfikowanych PR-ów.	✓Udokumentowane Shannon eksportuje PDF, Markdown, JSON i SARIF; edycje komercyjne dodają zarządzanie wynikami i dowody audytowe. ↗
Źródło + analiza środowiska wykonawczego	✓Udokumentowane Łączy źródła, zależności, infrastrukturę i obserwacje dynamiczne w ramach tego samego badania.	✓Udokumentowane Łączy analizę kodu źródłowego z próbami wykorzystania podatności w działającej aplikacji; wersje komercyjne rozszerzają zakres SAST, SCA i wykrywania sekretów. ↗
Uwierzytelnione testowanie ról	✓Udokumentowane Sprawdza legalne sesje, role i granice najemców; sesje nieosiągalne lub wygasłe pozostają lukami w zasięgu.	↗Inny produkt z pakietu OSS obsługuje uwierzytelnione skany; Komercyjne testy czarnej skrzynki wyraźnie obsługują do czterech kont ról. ↗
Oddzielna walidacja	✓Udokumentowane Agent proponujący wniosek lub poprawkę nie zatwierdza ich samodzielnie. Osobny etap weryfikacji ocenia zachowane dowody.	✓Udokumentowane Analiza wskazuje potencjalne podatności, a próby ich wykorzystania je potwierdzają; wersje komercyjne dodają etapy przeglądu i kontrole deterministyczne. ↗
Kontrole regresji funkcjonalnej	✓Udokumentowane Przed dostarczeniem zmian porównuje dowody bezpieczeństwa, kontrole prawidłowego działania i dostępne testy funkcjonalne z oryginałem.	—Nieudokumentowane w tym zakresie Komercyjne poprawki są poddawane ponownej analizie i odtwarzaniu exploitów; nie określono zestawu regresji funkcjonalnej. ↗
Poprawki zależności	✓Udokumentowane Proponowane poprawki mogą aktualizować graf zależności i dostosowywać kod aplikacji, pod warunkiem weryfikacji.	↗Inny produkt z pakietu Wersje komercyjne obejmują SCA i pull requesty z poprawkami; zakres aktualizacji pakietów zależy od wykrytego problemu. ↗
Mapowanie wymagań technicznych	✓Udokumentowane Łączy zachowane dowody z wybranymi wymaganiami technicznymi i pokazuje bieżące pokrycie oraz pokrycie przewidywane po proponowanych zmianach. Nie jest to certyfikacja organizacji.	—Nieudokumentowane w tym zakresie Dowody z audytu komercyjnego i zarządzanie są udokumentowane; mapowanie kontroli technicznej nie jest określone. ↗

Zakres produktu