Mit einem Produkt starten
Legen Sie die Produkte und Releases an, die Sie in Verkehr gebracht haben, binden Sie ihre SBOMs an und führen Sie von diesem Inventar aus Überwachung, Triage, Meldung und Kundenavise.
Dashboard öffnenKostenloser Basic-Plan, keine Kreditkarte. Pläne ansehen
Die Arbeitsschleife
Inventar, überwachen, entscheiden, dann mitteilen
Jeder spätere Schritt liest aus denselben Produkten und Releases. Sie starten nicht mit einem Scanner-Dump und nicht mit einer Neubau-Toolchain.
Produkte und Releases anlegen
Ein Produkt ist das, wofür Sie der CRA verantwortlich sind. Geben Sie ihm einen Namen, einen Unterstützungszeitraum und eine Risikoklasse. Listen Sie dann jede Firmware-Version auf, die Sie in Verkehr gebracht haben. Gegen diese Liste grenzt eine Behörde, und später ein Advisory, den Umfang ab.
SBOMs anbinden
CycloneDX oder SPDX je Release hochladen, oder Ihre Pipeline bei jedem Build aus GitHub Actions, GitLab CI oder jeder CI pushen lassen, die die API aufrufen kann. Fehlt das Herstellerdokument oder vertrauen Sie ihm nicht voll, leiten Sie ein Inventar aus der Firmware-Binary ab.
SBOMs überwachen
Geplante erneute Scans prüfen jedes gespeicherte Inventar gegen Schwachstelleninformationen. Neue hohe und kritische Funde gehen an Ihren PSIRT-Posteingang, nie an Ihre Kunden. Die Überlagerung aus KEV und EUVD sagt Ihnen, wann etwas, das Sie bereits ausgeliefert haben, aktiv ausgenutzt wird.
Funde und Auswirkungen triageen
Ein Scan ist keine Entscheidung. Halten Sie je Fund fest, ob das Produkt betroffen, nicht betroffen oder ein Fehlalarm ist, mit Begründung und Verlauf. Dieses Protokoll lesen Prüfer, Pakete nach Artikel 14 und Kundenavise.
Melden, dann Advisories veröffentlichen
Wird ein Fund in einem ausgelieferten Release aktiv ausgenutzt, halten Sie die Kenntnis fest und bereiten das 24-Stunden-, 72-Stunden- und 14-Tage-Paket zum Kopieren in den ENISA-SRP vor. Alloy reicht nicht ein. Unabhängig davon schalten Sie die öffentliche Sicherheitsseite Ihrer Organisation ein und veröffentlichen Advisories, begrenzt auf die tatsächlich betroffenen Releases.
Eine öffentliche Sicherheitsseite für Ihr Unternehmen
Veröffentlichte Advisories sind ohne Anmeldung unter der URL Ihrer Organisation lesbar, mit Ihrem Logo. Kunden sehen betroffene und nicht betroffene Releases, die empfohlene Version und den Dokumentverlauf, als Seite, CSAF-JSON und PDF.
Das Portal bleibt aus, bis Sie es einschalten. Veröffentlichen und E-Mail senden sind unabhängig: Sie können veröffentlichen ohne zu mailen, oder mailen ohne zu veröffentlichen.
So funktionieren AdvisoriesSpäter ein betroffenes Release neu bauen?
Blueprints und der Open-Source-Provisioner rekonstruieren die Umgebung, die eine Binary gebaut hat. Das ist der Reproduce-Zweig, nachdem die Triage Auswirkungen bestätigt hat, nicht der Einstieg in den CRA-Betrieb. Blueprint-Katalog
Lieber zuerst durchsprechen? CRA-Walkthrough buchen →