關(guān)于Xygeni

Xygeni專注于通過應(yīng)用程序安全態(tài)勢管理（ASPM）平臺提升軟件開發(fā)的安全性與效率。我們提供對應(yīng)用風(fēng)險的全面掌控，實現(xiàn)從代碼到云端的統(tǒng)一安全視圖，并消除干擾以有效優(yōu)先處理風(fēng)險。憑借先進的惡意軟件檢測與預(yù)警系統(tǒng)，Xygeni在抵御新興威脅方面處于行業(yè)領(lǐng)先地位，確保軟件交付快速且安全。

 

 

現(xiàn)代SCA：可達性分析、[自動]修復(fù)與惡意軟件預(yù)警

借助Xygeni早期惡意軟件檢測，最小化風(fēng)險并守護應(yīng)用安全。

 

通過可達性分析聚焦可利用漏洞，降低誤報率。實時監(jiān)控功能可在軟件受到威脅影響前檢測并緩解依賴項中的安全隱患。

 

最新報告顯示，近四分之三的代碼庫現(xiàn)已包含高風(fēng)險開源組件。漏洞率在短短一年內(nèi)飆升至74%（此前為48%）。更令人擔(dān)憂的是，其中91%的組件至少落后10個版本，極大加劇了安全風(fēng)險。惡意開源包呈火箭式增長，年增長率超過300%，2023年檢測到的惡意包已突破24.5萬個。是時候采取行動了！

 

Xygeni的軟件成分分析（SCA）突破基礎(chǔ)漏洞檢測范疇，引入可達性與可利用性分析，助您聚焦真正關(guān)鍵問題。當(dāng)其他工具用警報淹沒團隊時，Xygeni依據(jù)實際影響對漏洞進行優(yōu)先級排序，確保團隊減少追查誤報的時間。

 

借助自動修復(fù)功能，Xygeni大幅降低軟件安全防護所需的時間與精力。針對已知漏洞自動生成包含修復(fù)方案的拉取請求，加速修復(fù)流程，保障項目安全合規(guī)。

 

我們的實時監(jiān)控覆蓋多個公共注冊庫，確保所有依賴項持續(xù)接受安全完整性掃描與驗證，助您全面掌控開源軟件供應(yīng)鏈。

 

風(fēng)險依賴項與漏洞的高級檢測

Xygeni可疑依賴項掃描器通過識別誤植域名（typosquatting）、依賴混淆及可疑安裝腳本等風(fēng)險，幫助檢測并緩解供應(yīng)鏈攻擊。通過分析依賴關(guān)系圖譜，Xygeni確保您的軟件免受受損組件的侵害。

 

當(dāng)依賴項被標(biāo)記為可疑時，Xygeni提供詳細(xì)修復(fù)策略，包括版本固定、白名單機制及風(fēng)險腳本屏蔽，有效阻止威脅滲透項目。

 

支持的高風(fēng)險依賴檢測器概覽

Xygeni掃描器覆蓋多生態(tài)系統(tǒng)的全面檢測能力，助力安全團隊精準(zhǔn)識別并應(yīng)對不斷演變的威脅。

 

可疑依賴項檢測器類型

• 異常依賴項：檢測可能暗示安全風(fēng)險的異常依賴項。

• 依賴混淆：識別可能被誤認(rèn)為公共倉庫版本的內(nèi)部包名稱。

• 已知漏洞：標(biāo)記存在已記錄安全缺陷的依賴項。Xygeni整合了NVD、OSV、Github安全公告等數(shù)據(jù)庫。

• 惡意軟件：檢測包含已知惡意威脅的依賴項。

• 可疑腳本：識別可能執(zhí)行未經(jīng)授權(quán)或有害操作的腳本。

• 域名搶注：攔截名稱高度相似的惡意包。

• 未受限內(nèi)部組件：標(biāo)記存在公開暴露風(fēng)險的未受限NPM組件。

 

簡化開源許可管理

Xygeni掃描評估許可證，防范法律風(fēng)險并確保合規(guī)，助您安心使用開源軟件。

 

保障軟件更新與安全

Xygeni實時監(jiān)控并標(biāo)記過時組件，確保運行最安全版本以降低風(fēng)險并提升性能。

 

惡意軟件早期檢測、攔截與通知

新包發(fā)布后，Xygeni即刻啟動實時掃描，通過代碼行為分析檢測并攔截惡意軟件，免除構(gòu)建后耗時緊急的修復(fù)流程。系統(tǒng)化流程如下：

1.持續(xù)掃描：

• 公共注冊庫監(jiān)控：持續(xù)掃描NPM、Maven、PyPl等多個公共注冊庫。

• 即時通知受影響用戶：一旦檢測到潛在威脅，系統(tǒng)立即通知相關(guān)用戶，實現(xiàn)快速響應(yīng)以降低風(fēng)險。通知可通過Xygeni標(biāo)準(zhǔn)機制（如郵件、消息平臺、Webhook）觸發(fā)。

 

2. 隔離機制：

• 自動攔截零日惡意軟件：可疑軟件包被檢測后將自動隔離?？蛻艨蓳?jù)此在CI/CD流程中設(shè)置防護措施，阻止相關(guān)軟件包進入開發(fā)環(huán)境或更廣泛的軟件供應(yīng)鏈。

 

3. 審查與確認(rèn)：

• 安全研究員代碼審查：安全研究團隊對隔離包進行代碼審查以驗證威脅。

• 公共注冊庫確認(rèn)：經(jīng)內(nèi)部團隊確認(rèn)后，我們將向公共注冊庫通報，該注冊庫應(yīng)確認(rèn)發(fā)現(xiàn)結(jié)果并驗證威脅等級及惡意軟件/漏洞性質(zhì)。

 

4. 處置與公開披露：

• 處置流程：確認(rèn)威脅后采取安全處置措施，確保威脅無法重新進入生態(tài)系統(tǒng)。

• 公開披露：通過產(chǎn)品渠道、Xygeni博客或軟件包注冊庫公開披露惡意軟件詳情及處置方案，以警示更廣泛的社區(qū)并防止進一步擴散。

 

通過可達性分析，優(yōu)先處理真正重要的事項

多數(shù)安全工具會生成大量警報，卻未評估漏洞是否可被實際利用。Xygeni的可達性分析通過識別漏洞在應(yīng)用程序中的實際可達性，確保團隊僅關(guān)注真實威脅。

 

通過分析代碼執(zhí)行路徑和依賴項使用情況，Xygeni將誤報率降低高達70%，確保修復(fù)工作聚焦于真正存在風(fēng)險的問題。

 

結(jié)合漏洞利用預(yù)測評分系統(tǒng)（EPSS），Xygeni還能根據(jù)漏洞被利用的可能性進行優(yōu)先級排序，助力安全團隊高效配置資源。

 

Xygeni可達性分析為您帶來：

• 調(diào)用圖追蹤：精準(zhǔn)映射漏洞通過依賴項傳播的路徑

• EPSS優(yōu)先級排序：基于實際利用概率對漏洞進行評分

• 依賴項級可達性：區(qū)分使用與未使用組件，減少冗余修復(fù)

• 持續(xù)監(jiān)控與CI/CD集成：確保代碼演進過程中漏洞的實時評估

 

修復(fù)風(fēng)險：更智能而非更冒險

并非每次升級都是正確選擇。Xygeni-SAST超越單純檢測，揭示每項修復(fù)背后的風(fēng)險。針對每個存在漏洞的依賴項，您可對比補丁方案并查看：

 

• 已修復(fù)風(fēng)險：更新后消失的漏洞

• 新增風(fēng)險：升級可能引入的問題

• 破壞性變更：可能導(dǎo)致代碼中斷的版本跳躍

憑借這些洞察，團隊能選擇最安全的補丁路徑，消除漏洞的同時避免引入噪音或新問題。

 

加速安全防護：自動修復(fù)功能

手動修復(fù)漏洞耗時費力，拖慢開發(fā)進度。Xygeni的自動修復(fù)功能徹底改變這一流程，可自動生成已檢測漏洞的修復(fù)方案，讓團隊在不影響工作流程的情況下保障應(yīng)用安全。

 

批量自動修復(fù)功能更進一步——支持團隊同時應(yīng)用多個修復(fù)方案，解決不同依賴項中的漏洞，大幅縮短修復(fù)時間并降低工作量。

 

工作原理：

 

1. 自動修復(fù)建議：Xygeni分析漏洞后直接在工作流中提供修復(fù)方案

2. 批量自動修復(fù)：單次操作應(yīng)用多項修復(fù)措施，顯著減少安全債務(wù)

3.無縫CI/CD集成：自動化修復(fù)不影響開發(fā)進度，確保安全能力深度嵌入管道。

4.拉取請求生成：自動創(chuàng)建含補丁版本的拉取請求，實現(xiàn)快速部署。

 

借助Xygeni自動修復(fù)功能，企業(yè)能更快消除安全風(fēng)險、釋放開發(fā)資源，

在無需人工干預(yù)的情況下保障應(yīng)用安全。

 

SBOM與VDR功能

SBOM的監(jiān)管要求：

面對日益嚴(yán)峻的網(wǎng)絡(luò)安全威脅，全球監(jiān)管機構(gòu)正逐步強制要求使用軟件物料清單（SBOM）。SBOM能清晰呈現(xiàn)軟件應(yīng)用的組件構(gòu)成，助力完善漏洞管理并符合安全標(biāo)準(zhǔn)。

 

要求提供SBOM的法規(guī)包括：

1. 美國第14028號行政命令：聯(lián)邦機構(gòu)必須要求軟件供應(yīng)商提供SBOM

2. 美國NIST指南：支持采用SBOM保障供應(yīng)鏈安全，與第14028號行政命令相呼應(yīng)

3. 歐盟網(wǎng)絡(luò)安全戰(zhàn)略：倡導(dǎo)透明與安全，鼓勵使用SBOM

4. 網(wǎng)絡(luò)安全成熟度模型認(rèn)證（CMMC）（美國）：鼓勵國防承包商采用SBOM。

5. FDA網(wǎng)絡(luò)安全指南（美國）：建議醫(yī)療設(shè)備申報中提交SBOM。

6. ISO/IEC標(biāo)準(zhǔn)：考慮將SBOM納入軟件安全實踐。

7. 汽車網(wǎng)絡(luò)安全法規(guī)（全球）：新興法規(guī)要求聯(lián)網(wǎng)車輛采用SBOM。

8. 能源領(lǐng)域法規(guī)（全球）：NERC等監(jiān)管機構(gòu)探索采用SBOM保護關(guān)鍵基礎(chǔ)設(shè)施。

 

Xygeni對SPDX與CycloneDX標(biāo)準(zhǔn)的支持：

SPDX作為廣受認(rèn)可的標(biāo)準(zhǔn)，通過詳述軟件包內(nèi)組件及許可信息提升透明度。Xygeni對SPDX的兼容性使客戶能高效記錄并傳達軟件內(nèi)容，滿足全球合規(guī)與透明度要求。此外，作為輕量級SBOM標(biāo)準(zhǔn)CycloneDX的支持者（該標(biāo)準(zhǔn)適用于應(yīng)用安全與軟件供應(yīng)鏈分析），Xygeni倡導(dǎo)務(wù)實的SBOM管理方法。雙標(biāo)準(zhǔn)支持機制使客戶能夠根據(jù)具體運營需求與偏好，靈活選擇最適配的規(guī)范體系。

 

漏洞披露報告(VDR)集成：

Xygeni通過將漏洞披露報告(VDR)整合至其軟件物料清單(SBOM)生成流程，強化了軟件安全管理。我們的VDR全面呈現(xiàn)產(chǎn)品及其依賴項中所有已知漏洞，分析潛在影響并制定修復(fù)策略。此外，VDR有助于滿足嚴(yán)格的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)，并簡化修復(fù)流程。

 

易用性：

Xygeni作為用戶友好型平臺，通過命令行界面（CLI）和網(wǎng)頁用戶界面（WebUI）雙重方式簡化軟件物料清單（SBOM）生成流程。這種雙界面設(shè)計確保了Xygeni能滿足各類用戶需求——無論是偏好CLI操作直接控制權(quán)的開發(fā)人員，還是青睞WebUI直觀導(dǎo)航與可視化洞察的安全專家。通過簡化SBOM生成流程，Xygeni助力用戶高效識別與管理軟件組件，成為現(xiàn)代軟件開發(fā)與安全管理不可或缺的工具。

 

集成至CI/CD管道：

Xygeni的真正價值在于其與持續(xù)集成/持續(xù)部署（CI/CD）管道的無縫集成。這種集成對自動化生成SBOM至關(guān)重要，確保每次軟件構(gòu)建都附帶實時更新的物料清單。通過Xygeni自動化該流程可節(jié)省時間、減少人為錯誤風(fēng)險，并通過即時風(fēng)險評估與漏洞管理提升安全實踐。該功能使團隊能在軟件進入生產(chǎn)環(huán)境前盡早解決潛在安全隱患。

 

全面掃描的安全門控

Xygeni不僅支持全系統(tǒng)掃描，還可針對特定組件或變更進行定向掃描，完美適配全面安全審計與增量更新需求。其安全門控掃描功能進一步提升實用性，使團隊能在CI/CD管道的關(guān)鍵節(jié)點實施嚴(yán)格安全檢查。這些掃描可觸發(fā)需緊急處理的重大問題警報，助力團隊對新興威脅做出快速精準(zhǔn)響應(yīng)。

 

Xygeni-SCA 代碼安全防護

檢測漏洞、攔截惡意代碼、守護應(yīng)用程序——全部囊括在一個強大的解決方案中。

• 無需信用卡

• 快速部署，即時結(jié)果