Sut i ddefnyddio provenance

Dechrau arni

Beth yw provenance

Un gofrestr ar gyfer popeth y mae sefydliad yn berchen arno ac yn ei gyflenwi: yr ystâd galedwedd (pob dyfais, pwy sydd â gofal amdani, a pha gyflwr y mae ynddi) a'r gadwyn gyflenwi meddalwedd (pob cynnyrch, rhyddhad, cydran a'r gwendidau sy'n deillio ohonynt), wedi'u cysylltu drwy ddefnyddiadau er mwyn i chi allu dweud pa feddalwedd sy'n rhedeg ar ba beiriant.

Mae'n cofnodi'r hyn rydych chi'n ei ddatgan ac yn ei atodi. Nid yw'n monitro eich systemau. Mae ffigwr bob amser yn nodi dros beth y mae wedi'i gyfrif, ac mae rhywbeth nad oes neb wedi'i gofnodi yn cael ei ddangos fel anhysbys neu heb ei asesu, byth fel llwyddiant.

Mewngofnodi a gweithleoedd

1. Dewiswch Mewngofnodi. Rydych yn mewngofnodi gyda'ch hunaniaeth RODMENA, ac nid yw provenance byth yn gweld cyfrinair.
2. Byddwch yn cyrraedd eich gweithle. Os ydych yn perthyn i fwy nag un, mae'r newidiwr gweithleoedd yn y bar brig yn symud rhyngddynt, ac mae'r gofrestr, y niferoedd a'r llwybr archwilio i gyd yn newid gyda'i gilydd.
3. Mae eich enw yn y bar brig yn agor Cyfrif a chynllun: eich gweithle, ei gynllun a'i ddefnydd, a sut i uwchraddio. O'r fan honno, mae Fy mynediad yn rhestru eich rolau a phob caniatâd maen nhw'n ei roi i chi. Mae newid rôl a wneir gan weinyddwr yn dod i rym y tro nesaf y byddwch yn mewngofnodi.

Mae'r botwm haul neu leuad yn newid rhwng y themâu golau a thywyll. Dewiswch Newid cyfrif i fewngofnodi fel rhywun arall, ac Allgofnodi pan fyddwch wedi gorffen.

Agor “Mewngofnodi a gweithleoedd” yn provenance

Y trosolwg

Dyma'r dudalen gyntaf ar ôl mewngofnodi. Mae pob teilsen yn gyfrif ynghyd â'r boblogaeth y cyfrifir drosti, ac mae'r rhan fwyaf o deils yn cysylltu â'r rhestr wedi'i hidlo y tu ôl iddynt: asedau sydd ar waith, terfynbwyntiau heb eu hamgryptio, canfyddiadau heb eu hasesu eto a ph'un a yw'r gadwyn archwilio yn dilysu. Mae teilsen mewn oren neu goch angen sylw. Nid yw sero yn ddolen, oherwydd nid oes dim y tu ôl iddo.

Agor “Y trosolwg” yn provenance

Caledwedd

Cofrestru ac olrhain asedau

1. Dewiswch Cofrestru ased a rhowch ei dag, ei gategori a'r ffeithiau sydd gennych. Mae ased cofrestredig yn mynd i mewn i stoc.
2. Cofnodwch yr hyn sy'n digwydd iddo fel digwyddiadau ar ei dudalen: wedi'i aseinio i geidwad, wedi'i ddychwelyd, wedi'i anfon i'w atgyweirio, wedi'i gofnodi ar goll. Cedwir pob digwyddiad, ac mae'r gofrestr yn cadw llwybr cyfan yr ased yn ogystal â'i gyflwr presennol.
3. Os cofnodwyd ffaith yn anghywir, defnyddiwch Cywiro manylion a gofnodwyd a rhowch reswm. Mae'r gwerth blaenorol a'ch rheswm yn mynd i mewn i'r llwybr archwilio.
4. Atodwch ffeiliau tystiolaeth megis cipluniau, derbynebau a thystysgrifau i'r ased. Maent yn cael eu storio wedi'u hamgryptio ac yn cael eu darparu dim ond i bobl a gaiff ddarllen yr ased.

Mae gwarediad yn anadferadwy ac yn berthnasol i Cyber Essentials. Mae ganddo ei dudalen ei hun ac mae angen cymeradwyaeth arno. Mae Dan ofal, y cyrhaeddwch ato o enw'r ceidwad ar dudalen ased, yn rhestru popeth nad yw person wedi'i ddychwelyd, gan gynnwys offer allan i'w atgyweirio. Agorwch ef pan fydd rhywun yn gadael. Mae O ddyddiad penodol yn dangos y rhestr eiddo yn union fel yr oedd ar ddiwedd y diwrnod hwnnw.

Agor “Cofrestru ac olrhain asedau” yn provenance

Tudalennau Cyber Essentials dyfais

Mae pob ased yn cysylltu â'i dudalennau Cyber Essentials: a yw o fewn y cwmpas a pham, ei reolau wal dân ynghyd â'r angen busnes a'r gymeradwyaeth y tu ôl i bob un, y diweddariadau sydd ganddo i'w gosod o hyd a'r feddalwedd a osodwyd arno, a'i ateb i bob gofyniad dyfais. Dangosir gofyniad heb ateb fel un heb ei asesu, ac ni chaiff byth ei gyfrif fel un a gyflawnwyd.

Biliau deunyddiau caledwedd

Bil deunyddiau caledwedd (HBOM), fel y'i diffinnir gan Fframwaith HBOM CISA (2023), yw dogfen gwerthwr am gynnyrch caledwedd: y rhannau sydd ynddo, y cwmnïau a'u gwnaeth a ble. Mae provenance yn ei atodi i fodel caledwedd, ac mae'r dyfeisiau yn y gofrestr asedau yn unedau o fodel, felly mae hanner cant o liniaduron union yr un fath yn rhannu un HBOM. Nid yw'r gofrestr asedau ei hun yn newid.

1. Cofrestrwch y model ar Modelau caledwedd, neu derbyniwch awgrym: mae Modelau a awgrymir yn grwpio dyfeisiau heb fodel yn ôl y gwneuthuriad a'r model sydd gan y gofrestr ar eu cyfer.
2. Cofnodwch HBOM y gwerthwr ar dudalen y model: CycloneDX fel JSON, neu feysydd CISA fel CSV neu JSON. Mae'r templed CSV ar y dudalen honno. Os nad oes dogfen gan y gwerthwr, datganwch o'r label yr hyn a ddarllenodd eich sefydliad oddi ar y ddyfais; caiff ei ddangos fel wedi'i ddatgan gennych, sy'n dystiolaeth wannach na dogfen y gwerthwr.
3. Cysylltwch bob dyfais â'i model, o dudalen y ddyfais neu i gyd ar unwaith o awgrym. Mae pob cysylltiad yn cadw ei reswm.

Mae cwmpas yn dangos faint o'r caledwedd sy'n cael ei ddefnyddio sydd â HBOM, a faint o'r hyn sydd ei angen ar gyfer pob defnydd CISA y mae'r dogfennau hynny'n ei nodi. Mae amlygiad y gadwyn gyflenwi yn ateb pa ddyfeisiau sy'n cynnwys rhannau a wnaed mewn lle neu gan gwmni, drwy is-gydosodiadau i'r cynhyrchion sy'n eu cynnwys. Mae crynodiad yn grwpio'r rhannau yn ôl gwlad neu gwmni. Mae pob ateb yn nodi'r hyn na ellid ei wirio ar draws y gofrestr gyfan, oherwydd nid yw sero ond cystal â hynny.

Ar gynllun taledig, gall gweinyddwr sgrinio HBOMau yn erbyn rhestrau cyfyngiadau'r sefydliad ei hun; nid yw provenance yn darparu unrhyw rai. Mae cyfatebiaeth i'w hadolygu, a pherson sy'n cofnodi'r penderfyniad; nid yw cyfatebiaeth byth yn ganfyddiad cyfreithiol: nid yw HBOM yn brawf bod rheolau wedi'u bodloni. Mae'r dystiolaeth ar gyfer ISO 27001 A.5.21 yn y pecyn tystiolaeth yn defnyddio hyn i gyd.

Agor “Biliau deunyddiau caledwedd” yn provenance

Meddalwedd

Cynhyrchion, rhyddhadau ac SBOMau

1. Cofrestrwch gynnyrch. Ei slwg yw'r enw sefydlog y mae pob rhyddhad, SBOM a phecyn tystiolaeth yn cyfeirio ato.
2. Cyhoeddwch ryddhadau o'ch piblinell adeiladu gydag allwedd API sy'n cynnwys release_write a sbom_publish. Crëwch y rhyddhad, ac wedyn anfonwch ei CycloneDX SBOM ato. Rhestrir y llwybrau a'r cwmpasau yn /llms.txt.
3. Mae tudalen pob rhyddhad yn dangos beth y mae'n ei gyflenwi a'r canfyddiadau sy'n dilyn ohono. Ni chaiff SBOM cyhoeddedig ei olygu byth. Os oes un yn anghywir, cofnodwch gywiriad sy'n nodi hynny heb gyffwrdd â'r gwreiddiol.

Agor “Cynhyrchion, rhyddhadau ac SBOMau” yn provenance

Canfod pwy sy'n cyflenwi cydran

Caiff cydrannau eu dad-ddyblygu yn ôl URL pecyn ar draws yr ystâd gyfan. Pan ddaw hysbysiad diogelwch i law, chwiliwch am y gydran yma. Mae un rhes yn dweud wrthych am bob cynnyrch a rhyddhad sy'n ei gyflenwi, ac a yw wedi'i ddefnyddio.

Agor “Canfod pwy sy'n cyflenwi cydran” yn provenance

Y rhestr eiddo cryptograffig a pharodrwydd cwantwm

Cyhoeddwch ddogfen CycloneDX gyda chydrannau asedau cryptograffig (CBOM), ar ei phen ei hun neu y tu mewn i'r SBOM, i ryddhad yn y modd arferol (POST /api/v1/releases/{release_id}/sbom). Rydym yn dosbarthu pob algorithm, tystysgrif, protocol ac allwedd ynddi yn erbyn NIST SP 1800-38B. Ni dderbynnir yr hyn y mae'r ddogfen yn ei honni am ei diogelwch ei hun ar sail ffydd, ac mae honiad nad ydym yn ei ganiatáu wedi'i farcio fel “Honiad wedi'i ddiystyru”.

• Agored i niwed cwantwm: algorithm allwedd gyhoeddus y mae algorithm Shor yn ei dorri (RSA, DH, ECDH, ECDSA, EdDSA, DSA). Hybrid: clasurol ac ôl-gwantwm gyda'i gilydd. Gwrthiannol i gwantwm: ML-KEM, ML-DSA, SLH-DSA, LMS/XMSS. Ddim o fewn cwmpas cwantwm: seiffrau cymesur a stwnsiau. Heb ei adnabod: ni chaiff byth ei gyfrif fel un diogel.
• Caiff protocol ei farnu ddwywaith: cyfnewid allweddi (gall traffig a recordiwyd gael ei ddadgryptio yn ddiweddarach) a dilysu (llofnodion a thystysgrifau). Mae “Gwan yn glasurol” yn faner ar wahân ar gyfer pethau sy'n wan hyd yn oed heddiw, megis MD5 neu RSA o dan 2048 o ddidau.
• Mae parodrwydd cwantwm yn dechrau gyda chwmpas: faint o ryddhadau, a faint o ryddhadau a ddefnyddiwyd, a gafodd eu dadansoddi mewn gwirionedd. Yna daw'r niferoedd, y rhestr flaenoriaeth (mae pob sgôr yn dangos ei rhesymau), lle y defnyddir pob teulu o algorithmau, cynnydd dros amser, a thystysgrifau sy'n dod i ben.
• Mae pob nifer yn agor y rhestr wedi'i hidlo, a chyfeiriad y rhestr yw hidlydd yr API: mae'r un hidlyddion yn lawrlwytho fel CSV. Mae tudalen rhyddhad yn dangos ei gryptograffeg, yn ei gymharu â rhyddhad arall, ac yn lawrlwytho ei CBOM.
• Mae rhybuddion dod i ben tystysgrifau (cynlluniau taledig) yn e-bostio derbynwyr y rhybuddion 30 a 7 diwrnod cyn i dystysgrif ddod i ben. Mae Gosodiadau › Rhybuddion yn cadw'r cofnod ac yn rhagweld y rhediad nesaf.

Rhestrir y llwybrau a'u cwmpasau yn /llms.txt o dan “cryptography”.

Agor “Y rhestr eiddo cryptograffig a pharodrwydd cwantwm” yn provenance

Cofnodi defnyddiadau

Cofnodwch ba ryddhad sy'n rhedeg ym mha amgylchedd, ar ba beiriant ac ers pryd. Mae'r cyswllt hwn yn gwahanu digwyddiad (rhyddhad agored i niwed sy'n fyw) oddi wrth eitem ar y rhestr ôl-groniad (yr un rhyddhad nad oes neb yn ei redeg). Tynnwch ddefnyddiad yn ôl pan fydd yn peidio â rhedeg.

Agor “Cofnodi defnyddiadau” yn provenance

Polisi trwyddedu a phiblinellau

Mae polisi trwyddedu yn rhestru pob trwydded a ddatganwyd gan gydran yn yr ystâd ynghyd â'r dyfarniad a gofnodwyd ar ei chyfer. Mae Piblinellau yn dangos y rhediadau a drefnwyd (yr ail-sganio am wendidau ac anfon rhybuddion) a'r dystiolaeth bod pob un wedi rhedeg. Mae noson na redodd yn gadael rhes fethiedig, byth yn un ar goll.

Agor “Polisi trwyddedu a phiblinellau” yn provenance

Diogelwch

Brysbennu canfyddiadau a VEX

1. Agor Canfyddiadau a VEX. Trefnir canfyddiadau yn ôl difrifoldeb, a'r golofn Defnyddiwyd sy'n penderfynu ar y brys.
2. Hidlo yn ôl cynnyrch, difrifoldeb, neu i ganfyddiadau sydd wedi'u defnyddio neu heb eu hasesu yn unig.
3. Ar ganfyddiad, cofnodwch safbwynt VEX (effeithir arno, heb ei effeithio, wedi'i ddatrys neu wrthi'n cael ei ymchwilio) ynghyd â'r rhesymeg. Gall peiriant gynnig safbwynt, ond dim ond person all gymeradwyo un.

Agor “Brysbennu canfyddiadau a VEX” yn provenance

Rhybuddion diogelwch

Rhybuddion diogelwch yw'r cyfriflyfr o'r hyn a anfonwyd mewn gwirionedd at berson a phryd. Mae'n dangos na chafodd rhybudd ei dawelu. Dewiswch i ble mae rhybuddion yn mynd o dan Derbynwyr rhybuddion. Nid yw cyfeiriad yn derbyn dim nes iddo gadarnhau ei hun.

Agor “Rhybuddion diogelwch” yn provenance

Cydymffurfiaeth

Cyber Essentials

Atebwch y gofynion ar draws y sefydliad unwaith, ynghyd â'r dystiolaeth y tu ôl i bob un. Atebir gofynion dyfeisiau ar dudalen pob ased ei hun. Mae'r daflen atebion yn casglu pob cwestiwn, mae apiau cymeradwy yn cwmpasu dyfeisiau sy'n eiddo i weithwyr, ac mae profion CE Plus yn cofnodi'r hyn a brofodd yr asesydd ac a ganfuwyd, ynghyd â'r ffeiliau y tu ôl i bob canlyniad.

Agor “Cyber Essentials” yn provenance

Cofrestri ISO 27001

Mae tudalennau'r ISMS yn cadw cofrestri ISO 27001 ochr yn ochr â'r dystiolaeth: risgiau, polisïau, digwyddiadau, profion copi wrth gefn a dirymu, adolygiadau a cheisiadau mynediad, cyflenwyr, y gweithlu, cydnabyddiaethau, hyfforddiant, ymarferion, rheolaethau etifeddol ac ardystiadau. Mae'r Datganiad Cymhwysedd yn cofnodi pob rheolaeth Annex A, p'un a yw'n berthnasol, pam a sut, ac nid oes unrhyw beth ynddo wedi'i rag-lenwi. Mae cwmpas ymddiriedaeth yn dangos ar beth y mae pob rheolaeth ymddiriedaeth yn dibynnu a beth sydd ar goll.

Agor “Cofrestri ISO 27001” yn provenance

Cymeradwyaethau

Pwy gymeradwyodd beth, yn eu geiriau eu hunain, pryd ac o ba ffynhonnell. Mae cofnodion sydd angen cymeradwyaeth (gwarediad, polisi, cais mynediad) yn cysylltu ag un yma. Nid oes neb yn cofnodi eu cymeradwyaeth eu hunain trwy ei theipio.

Agor “Cymeradwyaethau” yn provenance

Allforio tystiolaeth

Mae allforio tystiolaeth yn adeiladu pecyn wedi'i dagio â rheolaethau ar gyfer asesydd: mae pob adran yn datgan yr hyn y mae'r gofrestr yn ei ddystiolaethu a'r hyn nad yw'n ei ddystiolaethu. Cofnodir pob allforiad tystiolaeth yn y llwybr archwilio ynghyd â chrynodeb o'r beitiau a gynhyrchwyd. Mae allforio SBOM yn cynhyrchu un ddogfen CycloneDX ar gyfer popeth a ddefnyddir ar draws yr ystâd gyfrifiadurol.

Agor “Allforio tystiolaeth” yn provenance

Cyhoeddi datganiad ymddiriedaeth

1. Mae gweinyddwr yn gosod y pennawd cyhoeddus: enw'r sefydliad, cyfeiriad rôl ar gyfer cyswllt diogelwch, a dolenni gwefan a phreifatrwydd dewisol.
2. Agorwch Rhagolwg i weld yn union beth fyddai'n cael ei gyhoeddi, ei olion bysedd (SHA-256), unrhyw beth a adawyd allan a pham, ac unrhyw beth sy'n atal cyhoeddi.
3. Gofynnwch am gymeradwyaeth. Mae aelod gwahanol (gweinyddwr neu swyddog diogelwch) yn agor y cais, yn darllen yr un cynnwys, yn ticio nad yw'n enwi unrhyw unigolyn ac yn cymeradwyo. Yna caiff ei lofnodi a'i gyhoeddi. Ni allwch gymeradwyo eich cais eich hun.
4. Mae pob datganiad cyhoeddedig yn dangos a yw ei feitiau'n gyfan a'i lofnod yn ddilys, ac yn cynnig llythyr fel tudalen neu PDF. Tynnwch ef yn ôl gyda rheswm pan ddylai roi'r gorau i gael ei ddarparu. Mae cylchdroi'r ddolen gyhoeddus yn ei dynnu'n ôl hefyd.

Agor “Cyhoeddi datganiad ymddiriedaeth” yn provenance

Y llwybr archwilio

Mae pob newid yn cael ei ychwanegu at log wedi'i gadwyno â stwnsh. Mae pob cofnod yn cadw crynodeb o'r un o'i flaen, felly mae addasu neu ddileu rhes hanesyddol yn torri'r gadwyn, hyd yn oed pan wneir y newid yn uniongyrchol yn y gronfa ddata. Gallwch hidlo yn ôl y math o gofnod neu yn ôl id cofnod. Mae tudalen pob cofnod hefyd yn cysylltu â'i gofnodion ei hun. Mae'r dudalen yn dangos sut i ailgyfrifo'r gadwyn eich hun.

Agor “Y llwybr archwilio” yn provenance

Gweinyddu ac awtomeiddio

Eich cyfrif a'ch cynllun

Mae Cyfrif a chynllun (eich enw yn y bar brig) yn dangos pwy ydych chi, y gweithle rydych chi'n gweithio ynddo a faint o'i gynllun y mae'r gweithle hwnnw'n ei ddefnyddio: asedau, cynhyrchion, rhyddhadau, allweddi API, aelodau a storfa dystiolaeth, pob un yn erbyn ei derfyn. Mae cynllun yn nodi faint all fodoli ar unwaith a faint y gellir ei wneud bob dydd, megis mewnlifau SBOM, sganiau ac allforion PDF, gyda lwfansau dyddiol yn ailosod am 00:00 UTC. Ar derfyn, gwrthodir y weithred gan enwi'r terfyn, ac mae'r neges yn dweud pryd mae lwfans dyddiol yn ailosod. Mae'r cynllun am ddim yn hepgor ail-sganiau nosweithiol, e-byst rhybudd, rhedeg piblinellau yn ôl y galw a chyhoeddi datganiad ymddiriedaeth.

I gael rhagor, dewiswch Cysylltu â gwerthiannau ynglŷn ag uwchraddio. Mae'r neges eisoes yn enwi eich gweithle a'i ddefnydd. Gallwch gymharu cynlluniau ar y dudalen brisio.

Agor “Eich cyfrif a'ch cynllun” yn provenance

Rolau, aelodau a dileu

Mae Model mynediad yn dangos pa ganiatadau y mae pob rôl yn eu rhoi a pha gamau na gaiff peiriant byth eu cyflawni. Mae gweinyddwr gweithle yn gwahodd pobl ac yn gosod eu rolau o dan Aelodau, a cheir rolau ar sail gweithle. Mae Dileu person yn tynnu'r cysylltiad rhwng rhywun a'r hyn a wnaethant heb ailysgrifennu'r llwybr archwilio. Ni ellir dad-wneud hyn.

Agor “Rolau, aelodau a dileu” yn provenance

Allweddi API ar gyfer eich piblinellau

1. O dan allweddi API, dewiswch Cyhoeddi allwedd API, dewiswch y cwmpasau sydd eu hangen ar y system yn unig, a gosodwch ddyddiad dod i ben (blwyddyn ar y mwyaf).
2. Copïwch y gyfrinach pan gaiff ei dangos. Oherwydd ei bod yn cael ei dangos unwaith yn unig ac yn cael ei storio fel crynodeb yn unig, rhaid dirymu ac ailgyhoeddi allwedd a gollir.
3. Defnyddiwch hi fel Authorization: Bearer <key>. Mae GET /api/v1/whoami yn dweud wrth unrhyw fanylyn adnabod beth y caiff ei wneud, ac mae /llms.txt yn rhestru pob llwybr gyda'r cwmpas sydd ei angen arno.

Ni all allwedd gymeradwyo safbwynt VEX, cael gwared ar ased, newid polisi na chydnabod toriad yn y gadwyn archwilio, pwy bynnag sy'n ei dal, gan gynnwys gweinyddwyr.

Agor “Allweddi API ar gyfer eich piblinellau” yn provenance

Cymorth

Cael cymorth

• Cwestiwn am ddefnyddio provenance: ysgrifennwch at support@rodmena.co.uk.
• Gwendid diogelwch: dilynwch /.well-known/security.txt, neu gweler Diogelwch ac ymddiriedaeth.
• Rhwystr hygyrchedd: mae'r datganiad hygyrchedd yn nodi'r hyn sydd wedi'i brofi a sut i roi gwybod i ni.