HodeiShield®

Jakin zein hornitzaileren esposizioa duzun, eta nor erortzen den haiekin.

Hornitzaile bakoitza bere 0tik 100erako puntuazioarekin, bere mendekotasunak grafo batean eta hornitzaile batek bakarrik erakusten ez dituen kontzentrazioak. Galdetegiak, CVEak (argitaratutako ahultasunak) eta erabakiak erregistro berean geratzen dira.

Hauentzat: Hornitzaileen eta TPRMren arduradunak, eta hornidura-katearen berri zuzendaritzaren eta arautzailearen aurrean ematen duen CISOa.

Eskatu demo batIrakurri kontzeptuak dokumentazioan (fitxa berri batean irekitzen da)
  • Mendekotasunak zuk deklaratzen dituzu; hedapena 3 jauzira irits daiteke
  • Aldizkako eskaneoak kanpo-iturriekin, ez denbora errealekoak

Mendekotasun-mapaKartera

Adibide-datuak
Kontzentrazioa (HHI)
3.420 / 10.000
Inpaktu-erradioa
3 hornitzaile 3 jauzitara

C hornitzailea

Puntuazio konposatua71 / 100Altua

  • Kanpo-eskaneoa2 aurkikuntza irekita
  • GaldetegiaAnalista batek baliozkotua
  • CVE ezagunak1 KEVen
Adibide-datuak: hornitzaileak, puntuazioak eta zifrak fikziozkoak dira.

Zikloan non txertatzen den

Konponbide honek lau faseak zeharkatzen ditu, hornitzailea lan-unitate gisa hartuta.

  1. SENSE · ebidentzia biltzea

    Hornitzailearen kanpo-eskaneoa, ataria bidezko galdetegiak eta CVEen eguneroko sinkronizazioa.

  2. PREDICT · kuantifikatzea eta simulatzea

    0tik 100erako puntuazioa, FAIR/ALE esposizioa eurotan simulatutako ziurgabetasun-bandarekin (kalibratu gabea), eszenatoki-simulatzailea eta HHI kontzentrazioa.

  3. ACT · proposatzea eta onartzea

    HodeiAI-k arrisku-erregistroan sarrera bat proposatzen du eta idazteko rola duen pertsona batek onartzen du. Alertak zure sistemetara bideratzen dira.

  4. ATTEST · hirugarrenei frogatzea

    Trust Centerrek esparruko zure heldutasuna laburbiltzen du; inoiz ez ditu puntuazioak, zenbatekoak edo hornitzaileen xehetasunak azaltzen.

Altatik erabakira: hornitzaile baten bizitza

Ibilbide bera 5. hornitzailearentzat eta 500.arentzat. Urrats bakoitzak bere arrastoa uzten du erregistroan.

  1. Hornitzailea eta bere kritikotasuna alta ematen dituzu

    Hornitzaile bakoitza erakundeko erregistro isolatu batean bizi da. Bere kritikotasunak (kritikoa, altua, ertaina, baxua) puntuazioa biderkatzen du eta zenbatero berreskaneatzen den erabakitzen du.

  2. Nork menpe zauden adierazten duzu

    Mendekotasunak (kritikoa, operatiboa, laguntzakoa, azpiprozesatzailea, birsaltzailea) zuk deklaratzen dituzu. HodeiShield-ek arriskua pisuaren arabera hedatzen du, hutsegite-puntu bakarrak detektatzen ditu eta kontzentrazioa (HHI) eta inpaktu-erradioa kalkulatzen ditu.

    Irismena. SBOMetatik n-garren mailako hirugarrenak aurkitzea existitzen da, baina ez dago planifikatuta: ez da mapa automatikoa.

  3. Seinale desberdinekin puntuatzen da

    Puntuazio konposatuak kanpo-eskaneoa, galdetegia eta ezagutzen diren CVEak konbinatzen ditu, eta sarbide-mailaren, hedapenaren eta kontzentrazioaren arabera doitzen da. Aurkikuntza bakoitza bere ebidentziara estekatzen da.

    Irismena. Eskaneoko datuak Shodanetik eta Have I Been Pwnedetik datoz, n8nrekin orkestratuta: aldizkakoak, ez denbora errealekoak.

  4. Hornitzaileak atari baten bidez erantzuten du

    Erabilera bakarreko esteka bat jasotzen du, konturik sortu gabe erantzuten du eta bere ebidentzia igotzen du. Gogorarazpen automatikoak daude, eta analista batek erantzun bakoitza baliozkotzen edo eztabaidatzen du.

    Irismena. Analista batek baliozkotu arte, erantzuna hornitzailearen autoebaluazioa da.

  5. CVE berri bat agertzen da hornitzailean

    CVEen sinkronizazioa egunerokoa da (NVD, CISA KEV eta EPSS, ustiatzeko probabilitatea). Aktiboki ustiatutako CVEek pisu handiagoa dute puntuazioan eta alerta sortzen dute bideratze-arau bat baduzu.

    Irismena. Hornitzaileari posta elektronikoz abisatzea eskuz abiarazten da.

  6. Erabakitzen duzu eta erregistratuta geratzen da

    Alta, berritzea, gertakari osteko berrikuspena, aldizkako berrikuspena edo baja: erabaki bakoitza zehaztutako egoeretatik pasatzen da, nork hartu duen eta zer ebidentziak sostengatzen zuen jakinda.

    Irismena. Auditatu daitekeen erregistro bat da; ez du zure erosketa-prozesua ordezkatzen, eta ez da sinadura legala.

Zer egiten duen, bere frogarekin eta bere irismenarekin

Baieztapen bakoitzak ertzean dauka non egiaztatu eta nora iristen den. Faseak zikloarenak dira; hemen, hornitzailearen ikuspegitik.

Frogaren iturria

  • Dokumentazio publikoa
  • Kode irekia
  • Demoan

Irismena: baieztapenak estaltzen ez duena

SENSE · ebidentzia biltzea

Hornitzaileari buruzko seinaleak hiru jatorritatik: kanpotik ikusten dena, berak erantzuten duena eta eragiten dioten ahultasunak.

  1. Hornitzaile bakoitzaren kanpo-eskaneoa agerian dauden atakei, CVEei eta ezagutzen diren urraketei buruz, Shodan eta Have I Been Pwned datuekin.1

    Docs · Arrisku-motorra (fitxa berri batean irekitzen da)

    Irismena. Hornitzailearen kritikotasunaren araberako aldizkako berreskaneoa. Ez da eskaner propioa, ezta etengabeko monitorizazioa ere.

  2. Erabilera bakarreko estekaren bidezko galdetegi-atari bat: hornitzaileak konturik gabe erantzuten du, ebidentzia igotzen du eta analista batek erantzun bakoitza baliozkotzen du.2

    Docs · Hornitzailearen gida (fitxa berri batean irekitzen da)

    Irismena. Baliozkotu gabeko galdetegi bat hornitzailearen autoebaluazioa da.

  3. CVEen eguneroko sinkronizazioa (NVD, CISA KEV eta EPSS, ustiatzeko probabilitatea) hornitzaile bakoitzaren aktibo deklaratuen aurka.3

    Demoan · hornitzailearen fitxa

    Irismena. Aktiboki ustiatutako CVEak markatzen ditu; ez dio hornitzaileari posta elektronikoz abisatzen zuk abiarazi gabe.

Hemen aplikatzen daHornidura-katea eta SBOMaEndpointen segurtasuna

PREDICT · kuantifikatzea eta simulatzea

Seinaleak hornitzaileen artean alderagarria den arrisku bihurtzen ditu, puntutan eta eurotan, zure mendekotasun-grafoaren gainean.

  1. 0tik 100erako puntuazio konposatua hornitzaile bakoitzeko, bere larritasun-bandarekin eta azaltzen duten aurkikuntzekin, bakoitza bere ebidentziara estekatuta.4

  2. FAIR/ALE esposizioa eurotan hornitzaile bakoitzeko eta kartera osorako: balio puntualaren estimazio parametrikoa, simulatutako ziurgabetasun-banda batekin (kalibratu gabea).5

    Docs · Arrisku-motorra (fitxa berri batean irekitzen da)

    Irismena. Ereduaren sektore-parametroak erabiltzen ditu, ez zure galera-datuak. Karterak itxaropenak batzen ditu; ez dago karteraren pertzentilik.

  3. 7 eszenatoki motako simulatzaile determinista: inpaktua grafoan zehar hedatzen du eta eragindako hornitzaileak, puntuazio-deltak eta ibilbideak itzultzen ditu.6

    Docs · Simulatzailea (fitxa berri batean irekitzen da)

    Irismena. Puntuazio-aldaketak itzultzen ditu, ez euroak. Ez du AArik erabiltzen: hizkuntza naturaleko eszenatokia hitz-gako konparatzaile bat da.

  4. HHI kontzentrazioa eta 3 jauzira dagoen inpaktu-erradioa zuk deklaratzen dituzun mendekotasunen gainean, hutsegite-puntu bakarren detekzioarekin.7

    Demoan · kontzentrazio-ikuspegia

    Irismena. Deklaratutako mendekotasunak soilik ikusten ditu; ez du bere kabuz zure kate osoa aurkitzen.

Hemen aplikatzen daEsparru anitzeko betetzeaDORA: kontzentrazioa eta IKT hornitzaileak

ACT · proposatzea eta onartzea

Erabakia erregistratutako egitate bihurtzen du, urrats bakoitzaren arduradun den pertsona batekin.

  1. HodeiAI-k arrisku-erregistroan sarrera bat proposatzen du; idazteko rola duen pertsona batek soilik sortzen du, erabilera bakarreko onespenarekin, 15 minutukoa eta proposamenaren hashari lotua.8

    Demoan · proposamena eta onespena

    Irismena. Gaur egun exekutatu daitekeen ekintza bakarra da. Ez ditu ekipoak isolatzen, ez du hornitzaileekin harremanetan jartzen, ezta tiketik irekitzen ere.

  2. Alertak ServiceNow, Jira, Slack, Teams, posta elektroniko, webhook sinatu, SIEM, PagerDuty eta Opsgeniera bideratzen dira zure arauen arabera.9

    Docs · Konektoreak (fitxa berri batean irekitzen da)

    Irismena. Jakinarazi egiten du edo tiketa sortzen du zure sisteman; ez du konponketarik egiten.

  3. Hornitzaileei buruzko erabakien erregistroa, motekin (alta, berritzea, berrikuspena, baja), zehaztutako egoerekin eta sostengatu zituen ebidentziarekin.10

    Docs · Erabakien erregistroa (fitxa berri batean irekitzen da)

    Irismena. Ez du zure erosketa-prozesua ordezkatzen ez sinadura legala da.

Hemen aplikatzen daHodeiAI

ATTEST · hirugarrenei frogatzea

Kanpora erakuts dezakezuna, zure hornitzaile-kartera erakutsi gabe.

  1. Trust Centerrek eskariz ML-DSA-65ekin sinatutako egiaztagiri bat igortzen du esparruko zure heldutasunaz, edonork konexiorik gabe egiaztatzen duena.11

    Kode irekia · ATTEST egiaztatzailea (fitxa berri batean irekitzen da)

    Irismena. Esparruko bandak soilik: inoiz ez puntuazioak, eurotako zenbatekoak edo hornitzaileen xehetasunak. Osotasuna, jatorria eta unea frogatzen ditu, ez egiazkotasuna, eta ez du auditoretza ordezkatzen.

Hemen aplikatzen daTrust Center eta ATTEST

SENSEk PREDICT elikatzen du; PREDICTek ACTek proposatzen duena lehenesten du; ATTESTek hirugarrenei frogatzen die.

Egiten ez duena

Irismen zehatza aurrean duzula erabaki dezazun.

  • Ez da eskaner propioa, eta ez du denbora errealean monitorizatzen: hornitzaileen datuak kanpo-iturrietatik datoz, aldizkako berreskaneoarekin.
  • Ez du bere kabuz zure kate osoa marrazten: mendekotasunak zuk deklaratzen dituzunak dira, eta SBOMen bidezko aurkikuntza ez dago planifikatuta.
  • FAIR ziurgabetasun-banda simulatua eta kalibratu gabea da; ez da urraketa-probabilitate bat.
  • Ez du galdetegia ordezkatzen: exekutatu egiten du eta puntuazioarekin eta erabakien erregistroarekin lotzen du.
  • Ez du zure hornitzaileekin bere kabuz harremanetan jartzen ez konponketarik exekutatzen.

Nola lotzen den beste konponbideekin

Hornitzailea gurutze-puntua da: hemendik irteten dira eta hona iristen dira gainerako konponbideak.

Hornitzaileak daramanaren galderak

Ohiko eragozpenak, dagoen bezala erantzunda.

Nire hornitzaileen galdetegia ordezkatzen al du?

Ez. Exekutatu egiten du (esteka bidezko bidalketa, gogorarazpenak, ebidentzia eta analista baten baliozkotzea) eta hornitzailearen puntuazioarekin eta erabakien erregistroarekin lotzen du. Zure galderak erabiltzen jarrai dezakezu.

Nire hornitzaileak denbora errealean eskaneatzen al ditu?

Ez. Kanpo-eskaneoak Shodan eta Have I Been Pwned bezalako iturriak erabiltzen ditu, n8nrekin orkestratuta, hornitzailearen kritikotasunaren araberako aldizkako berreskaneoarekin. CVEen sinkronizazioa egunerokoa da. HodeiShield-ek ez du eskaner propiorik.

Nire hornitzaileen hornitzaileak bere kabuz aurkitzen al ditu?

Ez automatikoki. Kontzentrazioa eta inpaktu-erradioa zuk deklaratzen dituzun mendekotasunen gainean kalkulatzen dira. SBOMetatik n-garren mailako hirugarrenak aurkitzea existitzen da, baina oraindik ez dago planifikatuta, beraz ez dugu mapa oso gisa aurkezten.

Nola kalkulatzen da eurotako esposizioa?

FAIR/ALErekin: urteko galera esperoaren euroetako estimazio puntual parametriko bat gehi simulatutako ziurgabetasun-banda bat (kalibratu gabea) eta erreproduzigarria. Ereduaren sektore-parametroak erabiltzen ditu, ez zure galera-datuak. Bandak hornitzaileak alderatzeko eta lehenesteko balio du, ez urraketa bat aurreikusteko.

Zer egin dezake HodeiAI-k hornitzaile batekin?

Arrisku-erregistroan sarrera bat proposatu. Idazteko rola duen pertsona batek onartzen du (erabilera bakarreko onespena, 15 minutukoa eta proposamenaren hashari lotua) eta orduan soilik sortzen da. Gaur egun ez du beste ekintzarik egiten.

Honek DORArekin eta NIS2rekin laguntzen al dit?

Bai, hirugarrenen atalean: hornitzaileen erregistroa, kontzentrazioa, ebidentzia eta erabakiak. Auditoretza baterako prest egotea zure ebidentziaren araberakoa da, ez tresnarenarena. Ikusi arau bakoitzaren erabilera-kasua xehetasunetarako.

Ikusi zure hornitzaileak mapan

Demoan grafoa, puntuazioa eta erabakien erregistroa zure karteraren hornitzaile batean aztertzen ditugu.

Kontzeptuak, arrisku-motorra eta simulatzailea dokumentazio publikoan daude.

Eskatu demo batIrakurri dokumentazioa (fitxa berri batean irekitzen da)