Funkcje w cenie od Professional: Zarządzanie podatnościami, porównaj pakiety
Zarządzanie podatnościami
Znajdowanie znanych podatności w Państwa zasobach, ustalanie ich priorytetów w kontekście Państwa instalacji i opracowywanie ich w sposób możliwy do prześledzenia.
Co roku publikowane są dziesiątki tysięcy podatności. Liczy się to, które dotyczą Państwa instalacji i od czego zacząć.
Jak Complass pomaga
Dopasowanie bez wysyłania danych na zewnątrz
Oprogramowanie i firmware z Państwa inwentarza zasobów jest dopasowywane do publicznych danych o podatnościach (NVD, CISA KEV, EPSS, ENISA EUVD). Dane są kopiowane na serwer; Państwa informacje nie opuszczają portalu.
Importy ze skanerów, SBOM i VEX
Przejmowanie wyników z popularnych skanerów, wykazów składników oprogramowania (CycloneDX, SPDX) i dokumentów VEX, z podglądem i możliwością cofnięcia.
Priorytet w kontekście
P1 do P4 na podstawie poziomu istotności, ekspozycji i krytyczności zasobu, aktywnego wykorzystywania (KEV) i EPSS, każdorazowo z uzasadnieniem i terminem.
Zalecane działania ze źródłem
Komunikaty producentów i aktualizacje z danych referencyjnych, dodawane do planu działań jako zadanie jednym kliknięciem.
Komunikaty bezpieczeństwa producentów (CSAF)
Przesyłanie komunikatów CSAF producentów lub ładowanie ich z wybranych publicznych kanałów: podpis i suma kontrolna są weryfikowane, dopasowania do modelu i wersji firmware stają się ustaleniami z działaniami producenta, bez zduplikowanych ustaleń dla tej samej CVE.
Powiadomienia i zgłoszenia CRA
E-mail po przekroczeniu progu, aktywnie wykorzystywane podatności zawsze. Jeśli taka podatność dotyczy jednego z Państwa własnych produktów, incydent zgodnie z art. 14 CRA tworzą Państwo wstępnie wypełniony.
Podstawa prawna i normatywna
- § 30 Abs. 2 Nr. 5 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Otwórz oryginał (gesetze-im-internet.de) ↗
- Anhang I Teil II CRAZałącznik I Część II Akt o cyberodporności Wymagania dotyczące postępowania w przypadku wykrycia podatnościProducenci produktów z elementami cyfrowymi mają obowiązek: 1) identyfikowania i dokumentowania podatności i komponentów zawartych w produkcie z elementami cyfrowymi, w tym przez sporządzenie zestawienia podstawowych materiałów do produkcji oprogramowania w powszechnie używanym formacie nadającym się do odczytu maszynowego, obejmującego co najmniej zależności najwyższego poziomu produktów; 2) w odniesieniu do …Otwórz oryginał (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- Art. 14 CRAArtykuł 14 Akt o cyberodporności Obowiązki producentów w zakresie zgłaszania1. Producent jednocześnie zgłasza jakiekolwiek aktywnie wykorzystywane podatności zawarte w produkcie z elementami cyfrowymi, o których się dowiedział, CSIRT-owi wyznaczonemu na koordynatora zgodnie z ust. 7 niniejszego artykułu oraz ENISA. Producent zgłasza aktywnie wykorzystywaną podatność za pośrednictwem pojedynczej platformy sprawozdawczej ustanowionej na podstawie art. 16. 2. Do celów zgłoszenia, o którym mowa …Otwórz oryginał (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- ISO/IEC 27001:2022, A.8.8
Priorytetyzować, decydować, dokumentować
Nie każda krytyczna podatność jest u Państwa pilna. Complass uzasadnia kolejność i utrwala decyzje.
Decyzja według SSVC
Wykorzystanie, ekspozycja i skutki prowadzą do decyzji, takiej jak „działać natychmiast” lub „usunąć planowo”; uwzględniana jest unijna lista aktywnie wykorzystywanych podatności.
Wyjątki z zatwierdzeniem według zasady czterech oczu
Reguły dla uzasadnionych wyjątków, zatwierdzane przez drugą osobę i z datą wygaśnięcia.
Katalog oprogramowania
Raz określić, jak nazywa się program lub typ urządzenia; każdy nowy zasób jest potem automatycznie poprawnie dopasowywany, także bez CPE.
Terminy z eskalacją
Przypomnienie przed terminem i eskalacja po jego przekroczeniu.
Komunikaty bezpieczeństwa dystrybucji Linuksa
Debian, Ubuntu, Alpine, AlmaLinux i Rocky Linux są porównywane z użyciem porównania wersji menedżera pakietów. Jeśli poprawka została przeportowana wstecz, Complass sam zamyka znalezisko.
Utwardzanie i wykrywanie
Audytorzy chcą zobaczyć, że systemy są utwardzone i że ataki zostałyby zauważone. Obie rzeczy dokumentują Państwo danymi z własnych narzędzi.
Uzgodnienie utwardzania w cenie od Professional: Uzgodnienie utwardzania, porównaj pakiety
Importować wyniki z SCAP (XCCDF, ARF), Wazuh SCA lub CSV: spełnienie dla każdego zasobu i wymogu, zatwierdzone odstępstwa z uzasadnieniem.
Źródła logów w cenie od Professional: Źródła logów, porównaj pakiety
Które systemy logują dokąd i jak długo, jako rejestr z pokryciem dla każdego zasobu.
Pokrycie wykrywania według MITRE ATT&CK w cenie od Professional: Pokrycie wykrywania, porównaj pakiety
Państwa reguły wykrywania dla każdej techniki jako heatmap: widać, gdzie atak pozostałby niezauważony.
Uzgodnienie utwardzania i źródła logów należą do modułu Zarządzanie zasobami, pokrycie wykrywania do modułu Zarządzanie podatnościami.
Podstawa prawna i normatywna
- Art. 21 Abs. 2 lit. b und e NIS2-RichtlinieArtykuł 21 Dyrektywa NIS 2 Środki zarządzania ryzykiem w cyberbezpieczeństwie1. Państwa członkowskie zapewniają, aby podmioty kluczowe i ważne wprowadzały odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne w celu zarządzania ryzykiem dla bezpieczeństwa sieci i systemów informatycznych wykorzystywanych przez te podmioty do prowadzenia działalności lub świadczenia usług oraz w celu zapobiegania wpływowi incydentów na odbiorców ich usług lub na inne usługi bądź …Otwórz oryginał (EUR-Lex) ↗
- ISO/IEC 27001:2022, A.8.9, A.8.15, A.8.16
- IEC 62443-3-3, SR 6.2, SR 7.6
Często zadawane pytania
Czy dane moich zasobów są wysyłane do NVD lub innych usług?
Nie. Portal pobiera publiczne dane na własny serwer i tam je dopasowuje. Żadne informacje z Państwa inwentarza nie są wysyłane na zewnątrz.
Czy potrzebne jest do tego zarządzanie zasobami?
Tak, dopasowanie odnosi się do oprogramowania i firmware zasobów. Importy ze skanerów także przypisują ustalenia do zasobów.
Jak postępować z ustaleniami, które nie mają zastosowania?
Ustawiają Państwo status z uzasadnieniem, np. „niepodatny”. Oświadczenia producentów przejmują Państwo przez import VEX, wraz z uzasadnieniem.
Przetestuj Complass na własnych danych
Mogą Państwo samodzielnie założyć konto testowe, na życzenie z przykładowym projektem dla każdej regulacji. Jeśli wolą Państwo najpierw zobaczyć Complass, proszę umówić demo.