Oryon Flow
开发中 · 抢先体验
从信号到证据。
了解 Flow 的调查流程：分析什么、如何核查发现项、对修复有哪些要求，以及结果如何关联技术要求。
15 项工具，四类分析面。
15
工具
OpenGrep
Joern
Gitleaks
OSV-Scanner
Syft
Grype
Checkov
KICS
Terraform
ZAP
Playwright
告警开启调查。
验证会区分已复现的利用、受影响的组件和声明的配置。
候选发现项
独立验证
- 已确认
- 已反证
- 证据不足
从原始源代码调查候选项，并归组共同原因。
咨询专家，准备可执行的验证方法。
根据证据和正常行为对照检查，核验潜在漏洞。
区分已确认、已反驳和证据不足的情况，不将受影响的依赖项等同于已证明的漏洞利用。
补丁需要证据支撑。
变更前先确定标准和正常使用检查。交付时保留已解决案例及剩余工作。
-
标准与基线
-
隔离的变更
-
验证与审查
-
待审查的拉取请求
GitHub
接纳已明确修复目标且具备可验证正常使用基线的已确认发现项。
在补丁前定义验收标准，并在隔离的修复候选上重复安全与行为检查。
独立审查变更，检查各项修复的应用顺序和组合。
准备包含证据、待完成工作及 merge 顺序的 GitHub pull request 和交付 Issue。由团队决定是否集成。
让技术证据与参考框架相连。
Flow 将证据映射到选定的技术要求，呈现缺口，并区分已观测状态与修复后的预期状态。
27参考框架
64 项选定要求
- 23部分技术评估
- 4文档参考
23 个提供部分技术评估的框架
- BIO2
- BSI C5
- CIS Controls
- Cyber Resilience Act (CRA)
- Cybersecurity Law (CSL)
- Cyber Essentials
- CyberFundamentals
- DORA
- Data Security Law (DSL)
- ENS
- FedRAMP
- GDPR
- HIPAA Security Rule
- Australian ISM
- ISMAP
- LGPD
- MLPS 2.0
- NIS2
- NIST CSF
- NIST SP 800-53
- OWASP ASVS
- PIPL
- SecNumCloud
4 个文档参考框架
- ISO/IEC 27001
- SOC 2
- PCI DSS
- MTCS
将结果关联到参考框架中所选的技术要求。
区分观测状态，以及交付已验证修复之后的预期状态。
保留标准、可追溯信息、缺口和证据日期。
明确显示待处理案例和限制；技术证据不等于认证。
