Pam mae'n bodoli
Dechreuodd provenance fel yr offeryn yr oedd ei awduron ei angen ar gyfer eu hystâd TG eu hunain, sy'n rhychwantu gweinyddion mewn sawl gwlad a chanolfan ddata. Cyn hynny, roedd ateb “beth sydd gennyf, ac a oes unrhyw beth ohono'n agored i niwed” yn golygu taenlen a phrynhawn o waith.
Mae'r gofrestr galedwedd, y rhestrau dibyniaethau a'r cofnod defnyddio fel arfer yn aros gyda thimau gwahanol mewn offer gwahanol. Mae pob un yn gweithio ar ei ben ei hun, ond gyda'i gilydd ni allant ateb y cwestiwn sy'n codi yn ystod digwyddiad: “cyhoeddwyd gwendid yn y llyfrgell hon. Ydyn ni'n ei gyflenwi, ac a yw'n rhedeg?”
Mae ateb y cwestiwn hwnnw'n golygu uno tri pheth â llaw, o dan bwysau amser, o systemau na chawsant erioed eu cynllunio i'w huno. Mae provenance yn bodoli i droi'r uno hwnnw o waith prynhawn yn un chwiliad syml.
Mae'r ddau hyn yn gategorïau go iawn sy'n gwneud gwaith go iawn. Nid yw'r un ohonynt yn gwneud yr hyn a ddisgrifir uchod, ac mae'r rhesymau'n werth eu nodi'n fanwl gywir.
| Categori | Beth y mae'n dda iawn am ei wneud | Beth y mae'n ei adael i chi |
|---|---|---|
| Sganwyr gwendidau | Canfod beth sy'n bod ar westeiwr neu ddelwedd, yn fanwl, yn barhaus. | Y rhestr eiddo y mae'r canfyddiadau ynghlwm wrthi. Nid yw rhestr o ganfyddiadau fesul peiriant yn dweud wrthych “pa rai o'n rhyddhadau sy'n cyflenwi hwn, a pha rai sy'n fyw”. |
| Rheoli arwyneb ymosod ar asedau seiber | Ffedereiddio'r hyn y mae eich systemau eraill eisoes yn ei wybod (cyfrifon cwmwl, cyfeiriadur, sganwyr) a chysoni'r gorgyffyrddiadau. | Y cofnod o'r hyn y gallwch ddarparu tystiolaeth ohono. Dim ond yr hyn sydd yn yr offer hynny y mae golwg gyson o offer eraill yn ei ddangos, ac mae asesydd yn gofyn beth a gyhoeddwyd gennych a phryd. |
Nid oes asiant i'w osod, dim rhestr o gysylltwyr i'w ffurfweddu cyn y sgrin ddefnyddiol gyntaf a dim angen galwad werthu i weld y cynnyrch. Y cyfaddawd yw na fydd dim yn ymddangos yn y gofrestr nes i chi neu eich piblinellau ei ychwanegu.
Mae pob cyfrif ar y llwyfan hwn wedi'i gyfyngu i'r hyn rydych chi'n ei redeg mewn gwirionedd, felly nid yw canfyddiadau mewn rhyddhadau nad oes neb yn eu defnyddio yn chwyddo'r niferoedd rydych chi'n gweithredu arnynt.
Mae rhoi cynnig arno am ddim, mewn gweithle bach o'ch eiddo eich hun, heb unrhyw derfyn amser. Oherwydd bod y log archwilio wedi'i gadwyno â stwnsh a bod ei rysáit wedi'i chyhoeddi, gallwch ei ailgyfrifo eich hun.
Nid yw provenance yn sganio eich rhwydwaith i ddod o hyd i asedau, rhoi clytiau ar waith na monitro gwesteiwr byw am ddrifft ffurfweddiad. Mae'n gofrestr gofnodion, gyda thystiolaeth bod y cofnod yn gyflawn. Lle bynnag y mae'r safle hwn yn rhoi cyfrif, mae'n nodi pa boblogaeth a gafodd ei chyfrif.
Mae provenance ar gyfer y bobl sy'n atebol am yr ystâd TG: peirianwyr systemau a llwyfannau sydd â mwy o beiriannau a gwasanaethau nag y gallant eu cadw yn eu pennau, peirianwyr diogelwch sydd angen gweld amlygiad wedi'i raddio yn ôl yr hyn sy'n rhedeg mewn gwirionedd, a phwy bynnag sy'n gorfod rhoi i asesydd rywbeth y gall ei wirio.
Mae sganiwr yn ateb "beth sy'n bod ar y gwesteiwr hwn". Mae provenance yn ateb "beth sy'n eiddo i mi, beth sydd ynddo a ble mae'n rhedeg", ac yn graddio beth sy'n bod yn seiliedig ar hynny. Rydych chi'n sylwi ar y gwahaniaeth yn ystod digwyddiad. Mae sganiwr yn rhoi rhestr o ganfyddiadau i chi fesul peiriant, pan fo angen i chi wybod pa ryddhadau sy'n cynnwys llyfrgell a enwir a pha rai o'r rheini sy'n fyw. Mae ateb hynny'n gofyn am uno data ar draws y rhestr eiddo.
Mae offer CAASM yn cysylltu â'ch cyfrifon cwmwl, eich cyfeiriadur a'ch sganwyr presennol, ac yn cysoni'r hyn y mae'r systemau hynny eisoes yn ei wybod. Mae provenance yn gofrestr gofnodion: mae'n cadw'r SBOM a gyhoeddwyd mewn gwirionedd gan eich adeiladiad a'r ddyfais y mae eich ceidwad yn ei dal mewn gwirionedd, gyda hanes cadwyn stwnsh o bob newid. Mae'r ddau yn ategu ei gilydd, gan fod offeryn CAASM yn adrodd ar yr hyn y mae eich offer eraill yn ei gredu ac mae provenance yn cadw'r hyn y gallwch ei dystio.
Nac oes. Nid oes dim i'w osod ar westeiwr. Mae meddalwedd yn mynd i mewn i'r gofrestr pan fydd eich CI yn cyhoeddi SBOM CycloneDX yn erbyn rhyddhad, ac mae caledwedd yn mynd i mewn iddi drwy'r API neu sgriniau'r gofrestr. Gwnaethom osgoi asiantau oherwydd bod asiant yn broses freintiedig ar bob peiriant sydd gennych, ac asiantau yw'r rheswm unigol mwyaf pam mae prosiectau rhestr eiddo yn dod i stop.
Mae rhoi cynnig arno am ddim, heb derfyn amser, mewn gweithle bach o'ch eiddo eich hun na all unrhyw un arall ei weld. Mae ei derfynau ar y dudalen brisio. Rydym am i beirianwyr allu ei redeg ar eu peiriannau eu hunain cyn iddynt ei argymell ar gyfer peiriannau unrhyw un arall.
Nid yw provenance yn darganfod asedau drwy sganio'ch rhwydwaith, yn gosod clytiau ar unrhyw beth i chi nac yn gwylio gwesteiwr sy'n rhedeg am ddrifft ffurfweddiad. Mae'n cofnodi'r hyn rydych chi'n ei ddweud wrtho a'r hyn y mae eich adeiladiad yn ei gyhoeddi, ac yn gwneud y cofnod hwnnw'n un y gellir ei ddilysu.
Ydym. Mae'r platfform yn rhedeg ar ei gofrestr ei hun, gan gynnwys cydrannau'r dudalen rydych chi'n ei darllen. Mae hynny'n golygu ein bod yn dod o hyd i'r sgriniau sy'n anodd eu defnyddio cyn i chi wneud hynny.
Mae defnydd personol am ddim ac yn cynnwys yr holl blatfform. Os ydych yn rhedeg ystâd TG ar gyfer rhywun arall, mae'r sgwrs fenter yn dechrau gyda'r hyn sydd gennych mewn gwirionedd.