Détection des vulnérabilités : les chemins

Par où une faille entre, ce qui l'arrête, et ce qui la laisse passer en connaissance de cause

Détection des vulnérabilités : les chemins Par où une faille entre, ce qui l'arrête, et ce qui la laisse passer en connaissance de cause 01 / Ce qui porte la faille 02 / Contrôles du pipeline EX / Verdict 04 / Après le déploiement Trois portes bloquantes Veille continue Renovate · lundi 6 h · Ce qui porte la faille · préventif Renovate lundi 6 h préventif Code + dépendances · Python, TS, pip, npm · Ce qui porte la faille Code + dépendances Python, TS, pip, npm Image de base · digest épinglé · Ce qui porte la faille Image de base digest épinglé trivy-fs-scan · pip + npm · Contrôles du pipeline › Trois portes bloquantes · bloquant trivy-fs-scan pip + npm bloquant semgrep puis sast-gate · seuil High · Contrôles du pipeline › Trois portes bloquantes · gate maison semgrep puis sast-gate seuil High gate maison trivy-image-scan · CRITICAL + HIGH fixables · Contrôles du pipeline › Trois portes bloquantes trivy-image-scan CRITICAL + HIGH fixables Image promue · retag par digest · Contrôles du pipeline Image promue retag par digest Pipeline rouge · merge impossible · Verdict Pipeline rouge merge impossible Risque accepté · .vex + .trivyignore · Verdict · date de revue Risque accepté .vex + .trivyignore date de revue registry-scan · 8 h, image de prod · Après le déploiement › Veille continue · hors pipeline registry-scan 8 h, image de prod hors pipeline Alerte Slack · et pipeline rouge · Après le déploiement › Veille continue Alerte Slack et pipeline rouge paquets système passe, tracé relue chaque matin CVE apparue depuis bump avant la faille finding High CVE fixable sans correctif amont Legend Image en service Contrôle et blocage Automatisme planifié Exception tracée Source de faille