Vuonna 2026 raportoitiin päivässä 131% enemmän CVE:itä kuin edellisenä vuonna.

Haavoittuvuuksien seuranta

Seuraa jokaista tunnettua haavoittuvuutta toimittamassasi ohjelmistossa buildista, joka toi sen mukaan, julkaisuun, joka korjasi sen. CRACI tallentaa jokaisen buildin SBOM:n, tarkistaa sitä jatkuvasti uusia haavoittuvuustietoja vasten ja ohjaa jokaisen löydöksen korjauksesta vastaavalle tiimille.

Varaa demo

Mitä haavoittuvuuksien seuranta on?

Haavoittuvuuksien seuranta on jatkuva kirjanpito jokaisesta ohjelmistoosi vaikuttavasta tunnetusta haavoittuvuudesta löytämisestä siihen asti, kun se on korjattu tai suljettu pois. Jokaisesta se vastaa neljään kysymykseen: missä se on, mitkä tuotteet ja julkaisut sisältävät sen, kuka vastaa korjauksesta ja mikä sen tila on.

Monet työkalut vastaavat ensimmäiseen kysymykseen skannaamalla manifesti- ja lukitustiedostot (lockfile) jälkikäteen ja jättävät loput taulukoiden ja tikettien varaan. CRACI aloittaa aiemmin. GitHub Actions -jobisi ajetaan CRACI:n runnereilla, ja niiden ajon aikana CRACI tallentaa jokaisen paketin, jonka buildi oikeasti haki, mukaan lukien CI-välimuisteista palautetut paketit. CRACI valvoo juuri tätä buildin aikana tallennettua SBOM:ia, joten seuraamasi haavoittuvuudet ovat niitä, jotka ovat toimittamassasi artefaktissa, eivät jossain lähistöllä ajetussa skannauksessa.

Toimittamasi ohjelmiston seuranta, ei vain IT-omaisuuden

Useimmat haavoittuvuuksien seurantatyökalut on tehty IT:lle: ne skannaavat palvelimia, kannettavia ja pilvitilejä, ja korjaus on paikkaus, jonka joku asentaa. Rakentamasi ja myymäsi ohjelmisto tarvitsee toisenlaisen kirjanpidon. Haavoittuva koodi on julkaisusi sisällä, korjaus on uusi buildi, ja asiakkaat ja viranomaiset kysyvät, mihin versioihin se vaikutti ja kuinka kauan.

Juuri tätä kirjanpitoa CRACI pitää: jokaisen buildin SBOM, tuotteet ja versiot, joihin se on otettu käyttöön, ostamasi toimittajien komponentit ja jokaisen haavoittuvuuden tila niissä kaikissa.

Toimittamasi ohjelmiston jatkuva uudelleenarviointi

CRACI tallentaa SBOM:n jokaisen buildin ajon aikana ja arvioi valvottuja SBOM:ia jatkuvasti uudelleen haavoittuvuustietoja vasten. Kauan julkaisun jälkeen julkaistu haavoittuvuus näkyy silti julkaisussa, johon se vaikuttaa, ilman että kenenkään tarvitsee ajaa skannausta uudelleen.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Yksi näkymä buildien ja repositorioiden yli

Löydökset kootaan buildien ja repositorioiden yli, ja oletushaaralle on organisaationäkymät. Inventaarionäkymä näyttää tarkalleen, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa, ja build-historia näyttää, mitkä aiemmat buildit sisälsivät haavoittuvan riippuvuuden, joten tiedät, mihin tuotteisiin se vaikutti ja kuinka kauan.

One view across builds and repositories Findings from every build are aggregated across repositories, with organization views on the default branch. The inventory view shows which software versions are deployed to which products. Default branch builds api-service web-app firmware billing Organization view Findings aggregated across builds and repositories 4 repositories, one list of findings Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1 Gateway firmware v1.8.4

Triage ja ohjaus vastuutiimille

Tietoturvatiimit tekevät löydetyille haavoittuvuuksille triagen (luokittelu ja priorisointi) ja lähettävät ne korjauksesta vastaaville tiimeille, joten jokainen löydös päätyy ihmisille, jotka voivat toimia sen perusteella. CRACI tukee myös VEX:iä sen kirjaamiseen, miten haavoittuvuus vaikuttaa tuotteeseesi, ja käytäntöportit voivat estää minkä tahansa buildin, jossa on tietty CVE.

Triage and routing to the owning team A security team triages a discovered vulnerability and sends it to the team that owns the fix. CRACI supports VEX for recording how a vulnerability affects your product. New finding Vulnerable component in shipped builds 3 builds 2 repositories Security team Triages the finding VEX supported Owning team Receives the finding and ships the fix Each finding reaches the people who can act on it Policy gates can block a build on findings, so a known issue does not ship again

Toimittajien SBOM:t seurannassa omiesi rinnalla

Lisää toimittajiesi SBOM:t, niin ostettuja komponentteja valvotaan rakentamasi ohjelmiston rinnalla. Tuotteesi kolmannen osapuolen koodia seurataan samassa paikassa kuin omia riippuvuuksiasi.

Vendor SBOMs tracked next to your own SBOMs from your own builds and SBOMs added from your vendors are monitored in the same place, so bought-in components are re-evaluated against new vulnerabilities alongside your own dependencies. Your builds api-service SBOM web-app SBOM firmware SBOM Your vendors Payment SDK SBOM Camera module SBOM RTOS SBOM Monitored in one place Every SBOM re-evaluated as new vulnerabilities are published Third-party code tracked like your own dependencies Findings triaged and routed to the team that owns the fix

Löydöksestä CRA-ilmoitukseen

EU:n kyberkestävyyssäädöstä (Cyber Resilience Act, CRA) varten CRACI valmistelee haavoittuvuusilmoitusten sisällön, jonka sinä lähetät: ennakkovaroituksen, ilmoituksen ja loppuraportin. SBOM:t viedään CycloneDX- tai SPDX-muodossa niiden komponenteista löydettyjen haavoittuvuuksien kanssa auditointeja, asiakkaita ja omia tallenteitasi varten.

CRA notifications, prepared for you When a vulnerability is actively exploited, the CRA sets deadlines: an early warning within 24 hours, a notification within 72 hours and a final report 14 days after a fix is available. CRACI prepares their content; a person at the manufacturer submits them through the CRA Single Reporting Platform to the CSIRT and ENISA. Actively exploited vulnerability found Aware 24 hours Early warning 72 hours Notification Fix + 14 days Final report CRACI prepares the notification content You submit it through the Single Reporting Platform to the CSIRT and ENISA and shows which products and releases are affected What stays with you The reporting obligation itself Informing affected users Severe incidents: final report within one month

Jokainen haavoittuva paketti ja se, mikä sen tuo mukaan

Jokainen buildi listaa pakettinsa version, package URL:n, lisenssin ja haavoittuvuustilan kanssa ja näyttää, onko sen SBOM kattava. Avaa paketti nähdäksesi sen tietoturvatiedotteet vakavuusasteineen ja paketit, jotka vaativat sitä.

CRACI:n build-näkymä, jossa on 370 pakettia ja 52 haavoittuvuutta, kullakin paketilla versio, package URL, lisenssi ja haavoittuvuustila
Buildin paketit ja kunkin haavoittuvuustila.
CRACI:n pakettinäkymä handlebars 4.7.7:lle, jossa sen CVE- ja GHSA-tiedotteet vakavuusasteineen ja paketti, joka vaatii sitä
Paketin tietoturvatiedotteet vakavuusasteineen ja "Required by" transitiivisille riippuvuuksille.

Haavoittuvuuksien seurannan elinkaari CRACI:ssa

  1. Löydä. Jokainen buildi tuottaa SBOM:n kattavuustiloineen, ja se viedään CycloneDX- tai SPDX-muodossa transitiivisine riippuvuuksineen. Valvotut SBOM:t, omasi ja toimittajiesi, arvioidaan jatkuvasti uudelleen haavoittuvuustietoja vasten.
  2. Paikanna. Organisaationäkymät buildien ja repositorioiden yli, inventaarionäkymä ja build-historia näyttävät, mihin tuotteisiin ja versioihin haavoittuvuus vaikuttaa ja mistä lähtien.
  3. Priorisoi ja tee triage. Jokainen tietoturvatiedote näyttää vakavuusasteensa. Tietoturvatiimit tekevät kullekin löydökselle triagen, ja VEX-tuella kirjataan, miten haavoittuvuus vaikuttaa tuotteeseesi.
  4. Korjaa. Jokainen löydös menee korjauksesta vastaavalle tiimille, ja "Required by" näyttää, mikä paketti tuo transitiivisen haavoittuvuuden mukaan. Käytäntöportit voivat pitää tietyn CVE:n poissa myöhemmistä buildeista.
  5. Varmista. Seuraavan buildin SBOM näyttää, onko haavoittuva versio poistunut, joten kirjanpito jatkuu korjattuun julkaisuun asti.
  6. Raportoi. CRACI valmistelee CRA:n haavoittuvuusilmoitusten sisällön, jonka sinä lähetät, ja SBOM:t viedään niiden komponenteista löydettyjen haavoittuvuuksien kanssa.

Mitä kustakin haavoittuvuudesta seurataan

Haavoittuvuus
Tietoturvatiedote ja sen tunnisteet (CVE, GHSA ja muut) vakavuusasteineen.
Komponentti
Paketti ja sen tarkka versio sekä se, onko kyseessä suora vai transitiivinen riippuvuus.
Polku
Paketit, jotka tuovat haavoittuvan paketin mukaan; niistä näet, mitä päivittää.
Altistuminen
Mitkä tuotteet, julkaisut ja buildit sisältävät sen ja mistä lähtien.
Omistaja
Korjauksesta vastaava tiimi.
Tila
Avoin, selvityksessä, ei vaikutusta tai korjattu, mieluiten VEX-muodossa kirjattuna.
Näyttö
Buildi tai julkaisu, joka ei enää sisällä haavoittuvaa versiota.

Mittarit, jotka kertovat, toimiiko seuranta

Tietoturvatiimit raportoivat yleensä neljä lukua:

  • Keskimääräinen korjausaika (MTTR): kuinka kauan haavoittuvuuden löytämisestä kestää julkaisuun, jossa sitä ei ole.
  • Korjausmääräaikojen noudattaminen: niiden haavoittuvuuksien osuus, jotka korjattiin käytäntösi niiden vakavuusasteelle asettamassa määräajassa.
  • Jonon kehitys: kasvaako vai pieneneekö avoimien haavoittuvuuksien määrä.
  • Altistumisikkuna: kuinka kauan kukin tuote toimitettiin haavoittuvalla versiolla. CRACI:n build-historia näyttää, mitkä buildit sisälsivät haavoittuvan riippuvuuden, joten tiedät ajanjakson, jolloin olit altistunut.

Mitä CRACI ei tänään tee

CRACI ei tarjoa reachability-analyysiä, joten se ei järjestä löydöksiä sen mukaan, kutsuuko koodisi haavoittuvaa funktiota. Se ei näytä korjausmittareita, kuten MTTR:ää, määräaikojen noudattamista tai jonon kehitystä. Se ei tänään hälytä vakavuuskynnyksen perusteella, ja sen hälytykset kattavat egress-käytännön rikkomukset. Löydösten kommentit, julkaisujen välinen vertailu (diff), kynnysarvohälytykset ja haavoittuvuus-webhookit ovat tiekartalla.

VEX: mitkä haavoittuvuudet oikeasti vaikuttavat tuotteeseesi

Haavoittuva komponentti SBOM:issasi ei aina tarkoita haavoittuvaa tuotetta. Haavoittuva koodi ei välttämättä sisälly siihen, mitä toimitat, tai siihen ei välttämättä pääse käsiksi hyökkäyksen vaatimalla tavalla. VEX (Vulnerability Exploitability eXchange) on koneluettava tapa sanoa tämä: jokainen VEX-lausunto yhdistää tuotteen, haavoittuvuuden ja tilan. Vakiotilat ovat ei vaikutusta, vaikuttaa, korjattu ja selvityksessä.

Tällä on merkitystä, kun asiakkaat ja viranomaiset tarkistavat SBOM:isi haavoittuvuustietokantoja vasten. Ilman VEX-lausuntoa jokainen osuma näyttää avoimelta ongelmalta, ja tiimisi päätyy selittämään samoja vääriä positiivisia yhä uudelleen. CRACI tukee VEX:iä sen kirjaamiseen, miten haavoittuvuus vaikuttaa tuotteeseesi, sekä triagea, joka lähettää jokaisen löydöksen korjauksesta vastaavalle tiimille.

Kiinnostaako, kuinka paljon pysyteltävää on? Katso, kuinka monta CVE:tä julkaistaan päivittäin ja miten High- ja Critical-haavoittuvuuksien määrä on kasvanut.

Haavoittuvuuksien seuranta selitettynä

Yleisiä kysymyksiä rakentamiesi ja ostamiesi ohjelmistojen haavoittuvuuksien seurannasta

Mitä haavoittuvuuksien seuranta on?

Haavoittuvuuksien seuranta on jatkuva kirjanpito jokaisesta ohjelmistoosi vaikuttavasta tunnetusta haavoittuvuudesta siitä hetkestä, kun se löydetään, siihen asti, kun se on korjattu tai suljettu pois: missä komponentissa ja versiossa se on, mitkä tuotteet ja julkaisut sisältävät sen, kuka vastaa korjauksesta ja mikä sen tila on. Toimittamasi ohjelmiston osalta se alkaa tarkasta komponenttilistasta, ja juuri sen SBOM tarjoaa.

Mitkä ovat haavoittuvuuksien hallinnan vaiheet?

Tavallisessa syklissä on viisi vaihetta: löydä haavoittuvuudet siitä, mitä ajat tai toimitat, priorisoi ne, korjaa ne, varmista, että korjaus poisti ne, ja raportoi. Seuranta yhdistää vaiheet, joten löydös ei katoa löytämisen ja korjatun julkaisun välissä. CRACI:ssa vaiheet ovat buildin aikaisen SBOM:n tallentaminen, kunkin löydöksen triage, sen ohjaaminen vastuutiimille, sen varmistaminen, ettei myöhempi buildi enää sisällä haavoittuvaa versiota, sekä raportointi SBOM-vientien ja CRA-ilmoitusten avulla.

Miten haavoittuvuuksien korjaamista seurataan?

Anna jokaiselle haavoittuvuudelle omistaja ja tila, ja sulje se vasta, kun buildi tai julkaisu ei enää sisällä haavoittuvaa versiota. Mittaa, kuinka kauan korjaukset kestävät, pysytäänkö määräajoissa ja pieneneekö avoimien haavoittuvuuksien jono. CRACI:ssa kunkin buildin SBOM näyttää, onko haavoittuva versio yhä mukana, ja käytäntöportti voi pitää tietyn CVE:n poissa myöhemmistä buildeista.

Mitä SBOM-pohjainen haavoittuvuuksien hallinta on?

SBOM-pohjainen haavoittuvuuksien hallinta tarkoittaa, että ohjelmistojen materiaaliluetteloissa (SBOM) listattuja komponentteja verrataan haavoittuvuustietoihin, ja se tehdään uudelleen aina, kun uusia haavoittuvuuksia julkaistaan. Tulos on vain niin hyvä kuin SBOM. CRACI tallentaa SBOM:n buildin ajon aikana, joten lista vastaa sitä, mitä buildi oikeasti haki, mukaan lukien CI-välimuisteista palautetut paketit.

Miten haavoittuvuuksien seuranta eroaa haavoittuvuusskannauksesta?

Skannaus on hetkellinen: se lukee tiedostot, raportoi löydökset ja pysähtyy. Seuranta säilyttää löydökset, niiden omistajat ja niiden tilan ajan mittaan ja tarkistaa toimitettua ohjelmistoa jatkuvasti uusien haavoittuvuuksien ilmaantuessa. CRACI on tallentaja, ei skanneri: se tallentaa jokaisen buildin ja arvioi sitten valvotut SBOM:t jatkuvasti uudelleen.

Seuraako CRACI kolmansien osapuolten ohjelmistojen haavoittuvuuksia?

Kyllä. Voit lisätä toimittajien SBOM:ia, ja näitä ostettuja komponentteja valvotaan CRACI:lla rakentamasi ohjelmiston rinnalla.

Voiko CRACI estää buildin, jossa on tunnettu haavoittuvuus?

Kyllä. Käytäntöportit voivat estää buildin löydösten perusteella, mukaan lukien minkä tahansa buildin, jossa on tietty CVE, joten korjaamasi haavoittuvuus ei palaa myöhemmässä buildissa.

Miten CRACI ilmoittaa minulle haavoittuvuuksista?

Löydökset näkyvät CRACI:n organisaationäkymissä, joissa tietoturvatiimit tekevät niille triagen ja lähettävät ne vastuutiimeille. Hälytykset kattavat tänään egress-käytännön rikkomukset. Kynnysarvohälytykset ja haavoittuvuus-webhookit ovat tiekartalla, kuten myös Slack- ja Teams-hälytykset.

Auttaako CRACI CRA:n haavoittuvuusraportoinnissa?

Kyllä. CRACI valmistelee CRA:n haavoittuvuusilmoitusten sisällön: ennakkovaroituksen, ilmoituksen ja loppuraportin. Yrityksesi edustaja lähettää ne keskitetyn raportointialustan (Single Reporting Platform) kautta. Kyberkestävyyssäädöksen vaatimusten täyttäminen on edelleen valmistajan prosessi; CRACI automatisoi merkittävän osan siitä toimitusketjun näkyvyydestä ja näytöstä, jota prosessi tarvitsee.

Tukeeko CRACI VEX:iä?

Kyllä. CRACI tukee VEX:iä (Vulnerability Exploitability eXchange) sen kirjaamiseen, miten tunnettu haavoittuvuus vaikuttaa tuotteeseesi, triagen ja korjauksesta vastaavalle tiimille ohjaamisen rinnalla. VEX-lausunto kertoo asiakkaille ja viranomaisille, vaikuttaako SBOM:istasi löydetty haavoittuvuus oikeasti tuotteeseen, jotta he eivät jahtaa vääriä positiivisia. Varaa demo ja näe, miten se sopii triage-prosessiisi.

Tekeekö CRACI reachability-analyysiä?

Ei. CRACI ei tarjoa reachability-analyysiä. Se näyttää, mitkä buildisi, repositoriosi ja tuotteesi sisältävät haavoittuvan komponentin, ja tukee VEX:iä sen kirjaamiseen, miten haavoittuvuus vaikuttaa tuotteeseesi.

Näe haavoittuvuuksien seuranta omissa buildeissasi

Varaa demo, niin näytämme, mitkä haavoittuvuudet päätyvät toimittamaasi ohjelmistoon ja kuka vastaa kunkin korjauksesta

Varaa demo