proto.lib

VEX: Tuyên bố Exploitability trả lời "có bị ảnh hưởng không"

Scanner liệt kê một thành phần có lỗ hổng trong image, nhưng vendor hoặc chính đội phát triển có thể phát hành một tuyên bố máy đọc được (VEX) nói rằng sản phẩm này KHÔNG bị ảnh hưởng — vì đường code lỗ hổng không thể chạm tới hoặc đã được giảm thiểu — kèm lý do cụ thể.

SecurityTrung bình2026-08-26
VEX: Tuyên bố Exploitability trả lời "có bị ảnh hưởng không"

Tags

#vex#vulnerability-management#sbom#exploitability#triage#supply-chain

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityTrung bình

Vulnerability Management: từ CVE đến bản vá

Quy trình có hệ thống từ khi một CVE được công bố tới khi toàn bộ fleet được vá: khớp SBOM của từng artifact với feed CVE để tìm dịch vụ bị ảnh hưởng, triage theo khả năng khai thác THỰC TẾ (đường gọi có reachable không, dịch vụ có internet-facing không, có known exploit không) thay vì chỉ dựa điểm CVSS thô, gán owner và deadline vá theo mức độ nghiêm trọng, xác minh lại bằng rescan, và có lối thoát ngoại lệ có tài liệu cho trường hợp không vá được ngay.

#vulnerability-management#cve#sbom#patch-sla
SecurityTrung bình

Triage kết quả Pentest: Từ báo cáo tới code đã sửa

Mỗi finding trong báo cáo pentest cần được xác nhận lại trong môi trường của mình, loại trùng với lỗi đã biết, đánh giá lại mức độ nghiêm trọng theo ngữ cảnh thực tế, giao chủ sở hữu kèm hạn, và chỉ đóng sau khi retest xác nhận đã sửa.

#pentest#triage#vulnerability-management#severity-rating
SecurityNâng cao

SBOM + Sigstore Keyless Signing

Pipeline CI tạo SBOM liệt kê thành phần phần mềm rồi ký artifact bằng Sigstore cosign theo mô hình keyless, đảm bảo tính toàn vẹn chuỗi cung ứng.

#sbom#sigstore#cosign#supply-chain