Od sygnału do dowodów.

Prześledź badanie we Flow: co analizuje, jak sprawdza ustalenie, czego wymaga od poprawki i jak łączy wyniki z wymaganiami technicznymi.

Piętnaście narzędzi, cztery obszary.

15 Narzędzia

Podział katalogu analiz. Wykonanie zależy od projektu i dostępnych profili.

Weryfikacja zachowuje rozróżnienie między odtworzonym wykorzystaniem podatności, podatnym komponentem i zadeklarowaną konfiguracją.

Bada kandydatów na podstawie oryginalnego kodu i grupuje wspólne przyczyny.
Konsultuje specjalistów i przygotowuje wykonywalne metody weryfikacji.
Sprawdza potencjalne podatności na podstawie dowodów i kontroli prawidłowego zachowania.
Oddziela przypadki potwierdzone, obalone i bez wystarczających dowodów, nie utożsamiając podatnej zależności z wykazaną eksploatacją.

Kryteria i kontrole prawidłowego użycia ustala się przed zmianą. Przekazanie obejmuje rozwiązane przypadki i pozostałą pracę.

Dopuszcza potwierdzone ustalenia ze wskazanym elementem do poprawy i weryfikowalnym stanem bazowym prawidłowego użycia.
Definiuje akceptację przed poprawką i powtarza kontrole bezpieczeństwa oraz zachowania na odizolowanych kandydatach.
Ocenia zmiany osobno i sprawdza kolejność stosowania oraz łączenie poprawek.
Przygotowuje pull requesty i zgłoszenie dostarczenia w GitHub z dowodami, pozostałą pracą i kolejnością merge. Zespół decyduje o integracji.

Flow łączy dowody z wybranymi wymaganiami technicznymi. Uwidacznia luki i odróżnia stan zaobserwowany od przewidywanego po poprawkach.

27Ramy odniesienia

64 wybrane wymagania

27 ram w katalogu: 23 z częściową oceną i 4 wyłącznie referencyjne. Liczby opisują katalog, a nie poziom zgodności organizacji.

23 ramy z częściową oceną techniczną

4 ramy jako odniesienie dokumentacyjne

Wiąże wyniki z wybranymi wymaganiami technicznymi ram odniesienia.
Odróżnia stan zaobserwowany od stanu przewidywanego po dostarczeniu zweryfikowanych poprawek.
Zachowuje kryteria, identyfikowalność, luki i daty dowodów.
Pokazuje oczekujące przypadki i ograniczenia; dowody techniczne nie są równoznaczne z certyfikacją.