關(guān)于Xygeni

Xygeni專注于通過應(yīng)用程序安全態(tài)勢管理（ASPM）平臺提升軟件開發(fā)的安全性與效率。我們提供對應(yīng)用風(fēng)險(xiǎn)的全面掌控，實(shí)現(xiàn)從代碼到云端的統(tǒng)一安全視圖，并消除干擾以有效優(yōu)先處理風(fēng)險(xiǎn)。憑借先進(jìn)的惡意軟件檢測與預(yù)警系統(tǒng)，Xygeni在抵御新興威脅方面處于行業(yè)領(lǐng)先地位，確保軟件交付快速且安全。

 

 

現(xiàn)代SCA：可達(dá)性分析、[自動(dòng)]修復(fù)與惡意軟件預(yù)警

借助Xygeni早期惡意軟件檢測，最小化風(fēng)險(xiǎn)并守護(hù)應(yīng)用安全。

 

通過可達(dá)性分析聚焦可利用漏洞，降低誤報(bào)率。實(shí)時(shí)監(jiān)控功能可在軟件受到威脅影響前檢測并緩解依賴項(xiàng)中的安全隱患。

 

最新報(bào)告顯示，近四分之三的代碼庫現(xiàn)已包含高風(fēng)險(xiǎn)開源組件。漏洞率在短短一年內(nèi)飆升至74%（此前為48%）。更令人擔(dān)憂的是，其中91%的組件至少落后10個(gè)版本，極大加劇了安全風(fēng)險(xiǎn)。惡意開源包呈火箭式增長，年增長率超過300%，2023年檢測到的惡意包已突破24.5萬個(gè)。是時(shí)候采取行動(dòng)了！

 

Xygeni的軟件成分分析（SCA）突破基礎(chǔ)漏洞檢測范疇，引入可達(dá)性與可利用性分析，助您聚焦真正關(guān)鍵問題。當(dāng)其他工具用警報(bào)淹沒團(tuán)隊(duì)時(shí)，Xygeni依據(jù)實(shí)際影響對漏洞進(jìn)行優(yōu)先級排序，確保團(tuán)隊(duì)減少追查誤報(bào)的時(shí)間。

 

借助自動(dòng)修復(fù)功能，Xygeni大幅降低軟件安全防護(hù)所需的時(shí)間與精力。針對已知漏洞自動(dòng)生成包含修復(fù)方案的拉取請求，加速修復(fù)流程，保障項(xiàng)目安全合規(guī)。

 

我們的實(shí)時(shí)監(jiān)控覆蓋多個(gè)公共注冊庫，確保所有依賴項(xiàng)持續(xù)接受安全完整性掃描與驗(yàn)證，助您全面掌控開源軟件供應(yīng)鏈。

 

風(fēng)險(xiǎn)依賴項(xiàng)與漏洞的高級檢測

Xygeni可疑依賴項(xiàng)掃描器通過識別誤植域名（typosquatting）、依賴混淆及可疑安裝腳本等風(fēng)險(xiǎn)，幫助檢測并緩解供應(yīng)鏈攻擊。通過分析依賴關(guān)系圖譜，Xygeni確保您的軟件免受受損組件的侵害。

 

當(dāng)依賴項(xiàng)被標(biāo)記為可疑時(shí)，Xygeni提供詳細(xì)修復(fù)策略，包括版本固定、白名單機(jī)制及風(fēng)險(xiǎn)腳本屏蔽，有效阻止威脅滲透項(xiàng)目。

 

支持的高風(fēng)險(xiǎn)依賴檢測器概覽

Xygeni掃描器覆蓋多生態(tài)系統(tǒng)的全面檢測能力，助力安全團(tuán)隊(duì)精準(zhǔn)識別并應(yīng)對不斷演變的威脅。

 

可疑依賴項(xiàng)檢測器類型

• 異常依賴項(xiàng)：檢測可能暗示安全風(fēng)險(xiǎn)的異常依賴項(xiàng)。

• 依賴混淆：識別可能被誤認(rèn)為公共倉庫版本的內(nèi)部包名稱。

• 已知漏洞：標(biāo)記存在已記錄安全缺陷的依賴項(xiàng)。Xygeni整合了NVD、OSV、Github安全公告等數(shù)據(jù)庫。

• 惡意軟件：檢測包含已知惡意威脅的依賴項(xiàng)。

• 可疑腳本：識別可能執(zhí)行未經(jīng)授權(quán)或有害操作的腳本。

• 域名搶注：攔截名稱高度相似的惡意包。

• 未受限內(nèi)部組件：標(biāo)記存在公開暴露風(fēng)險(xiǎn)的未受限NPM組件。

 

簡化開源許可管理

Xygeni掃描評估許可證，防范法律風(fēng)險(xiǎn)并確保合規(guī)，助您安心使用開源軟件。

 

保障軟件更新與安全

Xygeni實(shí)時(shí)監(jiān)控并標(biāo)記過時(shí)組件，確保運(yùn)行最安全版本以降低風(fēng)險(xiǎn)并提升性能。

 

惡意軟件早期檢測、攔截與通知

新包發(fā)布后，Xygeni即刻啟動(dòng)實(shí)時(shí)掃描，通過代碼行為分析檢測并攔截惡意軟件，免除構(gòu)建后耗時(shí)緊急的修復(fù)流程。系統(tǒng)化流程如下：

1.持續(xù)掃描：

• 公共注冊庫監(jiān)控：持續(xù)掃描NPM、Maven、PyPl等多個(gè)公共注冊庫。

• 即時(shí)通知受影響用戶：一旦檢測到潛在威脅，系統(tǒng)立即通知相關(guān)用戶，實(shí)現(xiàn)快速響應(yīng)以降低風(fēng)險(xiǎn)。通知可通過Xygeni標(biāo)準(zhǔn)機(jī)制（如郵件、消息平臺、Webhook）觸發(fā)。

 

2. 隔離機(jī)制：

• 自動(dòng)攔截零日惡意軟件：可疑軟件包被檢測后將自動(dòng)隔離?？蛻艨蓳?jù)此在CI/CD流程中設(shè)置防護(hù)措施，阻止相關(guān)軟件包進(jìn)入開發(fā)環(huán)境或更廣泛的軟件供應(yīng)鏈。

 

3. 審查與確認(rèn)：

• 安全研究員代碼審查：安全研究團(tuán)隊(duì)對隔離包進(jìn)行代碼審查以驗(yàn)證威脅。

• 公共注冊庫確認(rèn)：經(jīng)內(nèi)部團(tuán)隊(duì)確認(rèn)后，我們將向公共注冊庫通報(bào)，該注冊庫應(yīng)確認(rèn)發(fā)現(xiàn)結(jié)果并驗(yàn)證威脅等級及惡意軟件/漏洞性質(zhì)。

 

4. 處置與公開披露：

• 處置流程：確認(rèn)威脅后采取安全處置措施，確保威脅無法重新進(jìn)入生態(tài)系統(tǒng)。

• 公開披露：通過產(chǎn)品渠道、Xygeni博客或軟件包注冊庫公開披露惡意軟件詳情及處置方案，以警示更廣泛的社區(qū)并防止進(jìn)一步擴(kuò)散。

 

通過可達(dá)性分析，優(yōu)先處理真正重要的事項(xiàng)

多數(shù)安全工具會生成大量警報(bào)，卻未評估漏洞是否可被實(shí)際利用。Xygeni的可達(dá)性分析通過識別漏洞在應(yīng)用程序中的實(shí)際可達(dá)性，確保團(tuán)隊(duì)僅關(guān)注真實(shí)威脅。

 

通過分析代碼執(zhí)行路徑和依賴項(xiàng)使用情況，Xygeni將誤報(bào)率降低高達(dá)70%，確保修復(fù)工作聚焦于真正存在風(fēng)險(xiǎn)的問題。

 

結(jié)合漏洞利用預(yù)測評分系統(tǒng)（EPSS），Xygeni還能根據(jù)漏洞被利用的可能性進(jìn)行優(yōu)先級排序，助力安全團(tuán)隊(duì)高效配置資源。

 

Xygeni可達(dá)性分析為您帶來：

• 調(diào)用圖追蹤：精準(zhǔn)映射漏洞通過依賴項(xiàng)傳播的路徑

• EPSS優(yōu)先級排序：基于實(shí)際利用概率對漏洞進(jìn)行評分

• 依賴項(xiàng)級可達(dá)性：區(qū)分使用與未使用組件，減少冗余修復(fù)

• 持續(xù)監(jiān)控與CI/CD集成：確保代碼演進(jìn)過程中漏洞的實(shí)時(shí)評估

 

修復(fù)風(fēng)險(xiǎn)：更智能而非更冒險(xiǎn)

并非每次升級都是正確選擇。Xygeni-SAST超越單純檢測，揭示每項(xiàng)修復(fù)背后的風(fēng)險(xiǎn)。針對每個(gè)存在漏洞的依賴項(xiàng)，您可對比補(bǔ)丁方案并查看：

 

• 已修復(fù)風(fēng)險(xiǎn)：更新后消失的漏洞

• 新增風(fēng)險(xiǎn)：升級可能引入的問題

• 破壞性變更：可能導(dǎo)致代碼中斷的版本跳躍

憑借這些洞察，團(tuán)隊(duì)能選擇最安全的補(bǔ)丁路徑，消除漏洞的同時(shí)避免引入噪音或新問題。

 

加速安全防護(hù)：自動(dòng)修復(fù)功能

手動(dòng)修復(fù)漏洞耗時(shí)費(fèi)力，拖慢開發(fā)進(jìn)度。Xygeni的自動(dòng)修復(fù)功能徹底改變這一流程，可自動(dòng)生成已檢測漏洞的修復(fù)方案，讓團(tuán)隊(duì)在不影響工作流程的情況下保障應(yīng)用安全。

 

批量自動(dòng)修復(fù)功能更進(jìn)一步——支持團(tuán)隊(duì)同時(shí)應(yīng)用多個(gè)修復(fù)方案，解決不同依賴項(xiàng)中的漏洞，大幅縮短修復(fù)時(shí)間并降低工作量。

 

工作原理：

 

1. 自動(dòng)修復(fù)建議：Xygeni分析漏洞后直接在工作流中提供修復(fù)方案

2. 批量自動(dòng)修復(fù)：單次操作應(yīng)用多項(xiàng)修復(fù)措施，顯著減少安全債務(wù)

3.無縫CI/CD集成：自動(dòng)化修復(fù)不影響開發(fā)進(jìn)度，確保安全能力深度嵌入管道。

4.拉取請求生成：自動(dòng)創(chuàng)建含補(bǔ)丁版本的拉取請求，實(shí)現(xiàn)快速部署。

 

借助Xygeni自動(dòng)修復(fù)功能，企業(yè)能更快消除安全風(fēng)險(xiǎn)、釋放開發(fā)資源，

在無需人工干預(yù)的情況下保障應(yīng)用安全。

 

SBOM與VDR功能

SBOM的監(jiān)管要求：

面對日益嚴(yán)峻的網(wǎng)絡(luò)安全威脅，全球監(jiān)管機(jī)構(gòu)正逐步強(qiáng)制要求使用軟件物料清單（SBOM）。SBOM能清晰呈現(xiàn)軟件應(yīng)用的組件構(gòu)成，助力完善漏洞管理并符合安全標(biāo)準(zhǔn)。

 

要求提供SBOM的法規(guī)包括：

1. 美國第14028號行政命令：聯(lián)邦機(jī)構(gòu)必須要求軟件供應(yīng)商提供SBOM

2. 美國NIST指南：支持采用SBOM保障供應(yīng)鏈安全，與第14028號行政命令相呼應(yīng)

3. 歐盟網(wǎng)絡(luò)安全戰(zhàn)略：倡導(dǎo)透明與安全，鼓勵(lì)使用SBOM

4. 網(wǎng)絡(luò)安全成熟度模型認(rèn)證（CMMC）（美國）：鼓勵(lì)國防承包商采用SBOM。

5. FDA網(wǎng)絡(luò)安全指南（美國）：建議醫(yī)療設(shè)備申報(bào)中提交SBOM。

6. ISO/IEC標(biāo)準(zhǔn)：考慮將SBOM納入軟件安全實(shí)踐。

7. 汽車網(wǎng)絡(luò)安全法規(guī)（全球）：新興法規(guī)要求聯(lián)網(wǎng)車輛采用SBOM。

8. 能源領(lǐng)域法規(guī)（全球）：NERC等監(jiān)管機(jī)構(gòu)探索采用SBOM保護(hù)關(guān)鍵基礎(chǔ)設(shè)施。

 

Xygeni對SPDX與CycloneDX標(biāo)準(zhǔn)的支持：

SPDX作為廣受認(rèn)可的標(biāo)準(zhǔn)，通過詳述軟件包內(nèi)組件及許可信息提升透明度。Xygeni對SPDX的兼容性使客戶能高效記錄并傳達(dá)軟件內(nèi)容，滿足全球合規(guī)與透明度要求。此外，作為輕量級SBOM標(biāo)準(zhǔn)CycloneDX的支持者（該標(biāo)準(zhǔn)適用于應(yīng)用安全與軟件供應(yīng)鏈分析），Xygeni倡導(dǎo)務(wù)實(shí)的SBOM管理方法。雙標(biāo)準(zhǔn)支持機(jī)制使客戶能夠根據(jù)具體運(yùn)營需求與偏好，靈活選擇最適配的規(guī)范體系。

 

漏洞披露報(bào)告(VDR)集成：

Xygeni通過將漏洞披露報(bào)告(VDR)整合至其軟件物料清單(SBOM)生成流程，強(qiáng)化了軟件安全管理。我們的VDR全面呈現(xiàn)產(chǎn)品及其依賴項(xiàng)中所有已知漏洞，分析潛在影響并制定修復(fù)策略。此外，VDR有助于滿足嚴(yán)格的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)，并簡化修復(fù)流程。

 

易用性：

Xygeni作為用戶友好型平臺，通過命令行界面（CLI）和網(wǎng)頁用戶界面（WebUI）雙重方式簡化軟件物料清單（SBOM）生成流程。這種雙界面設(shè)計(jì)確保了Xygeni能滿足各類用戶需求——無論是偏好CLI操作直接控制權(quán)的開發(fā)人員，還是青睞WebUI直觀導(dǎo)航與可視化洞察的安全專家。通過簡化SBOM生成流程，Xygeni助力用戶高效識別與管理軟件組件，成為現(xiàn)代軟件開發(fā)與安全管理不可或缺的工具。

 

集成至CI/CD管道：

Xygeni的真正價(jià)值在于其與持續(xù)集成/持續(xù)部署（CI/CD）管道的無縫集成。這種集成對自動(dòng)化生成SBOM至關(guān)重要，確保每次軟件構(gòu)建都附帶實(shí)時(shí)更新的物料清單。通過Xygeni自動(dòng)化該流程可節(jié)省時(shí)間、減少人為錯(cuò)誤風(fēng)險(xiǎn)，并通過即時(shí)風(fēng)險(xiǎn)評估與漏洞管理提升安全實(shí)踐。該功能使團(tuán)隊(duì)能在軟件進(jìn)入生產(chǎn)環(huán)境前盡早解決潛在安全隱患。

 

全面掃描的安全門控

Xygeni不僅支持全系統(tǒng)掃描，還可針對特定組件或變更進(jìn)行定向掃描，完美適配全面安全審計(jì)與增量更新需求。其安全門控掃描功能進(jìn)一步提升實(shí)用性，使團(tuán)隊(duì)能在CI/CD管道的關(guān)鍵節(jié)點(diǎn)實(shí)施嚴(yán)格安全檢查。這些掃描可觸發(fā)需緊急處理的重大問題警報(bào)，助力團(tuán)隊(duì)對新興威脅做出快速精準(zhǔn)響應(yīng)。

 

Xygeni-SCA 代碼安全防護(hù)

檢測漏洞、攔截惡意代碼、守護(hù)應(yīng)用程序——全部囊括在一個(gè)強(qiáng)大的解決方案中。

• 無需信用卡

• 快速部署，即時(shí)結(jié)果