Podatności pod kontrolą. Dowody gotowe na audyt.

Jeden skrypt bash instaluje Trivy i wykonuje pełny skan OS, zainstalowanych pakietów i uruchomionych kontenerów Docker. Poza maszynę trafiają tylko metadane podatności i podstawowe dane maszyny - żadnych plików, konfiguracji ani sekretów.

Każde CVE jest automatycznie wzbogacane o ocenę CVSS (0–10), prawdopodobieństwo exploitacji EPSS (%) i flagę CISA KEV. Trzy źródła danych w jednym widoku - wiesz gdzie skupić uwagę jako pierwsze.

Oznaczaj pojedyncze CVE jako In Progress, Accepted Risk lub Fixed - bezpośrednio z widoku maszyny. Dostępne akcje masowe. Historia statusów jest zachowywana i eksportowalna.

Każdy skan jest przechowywany z deltą względem poprzedniego. Śledź czy postura bezpieczeństwa się poprawia w czasie i natychmiast wykrywaj regresje.

Jednym kliknięciem generujesz raport PDF obejmujący pełny proces zarządzania podatnościami: wyniki, akcje remediacyjne i harmonogram. Gotowy dla zewnętrznych audytorów - bez ręcznego zbierania danych.

Widź które maszyny mają systemy z kończącym się wsparciem, ile dni pozostało, kto jest właścicielem migracji, jakie są daty docelowe i decyzje o akceptacji ryzyka. Zgodne z ISO 27001 A.8.9.

Eksportuj dowolny snapshot maszyny lub podsumowanie floty do PDF lub CSV. CSV zgodny z RFC 4180 z BOM dla poprawnego renderowania w Excel. Każdy eksport jest gotowy do audytu.

Wygeneruj jeden ZIP za dowolny okres audytu: raporty PDF (zarządczy, ISO 27001, EOL), rejestry CSV (akceptacje ryzyka, dziennik audytowy), maszynowo-czytelny dataset JSON i manifest SHA-256. Wręcz audytorowi ISO 27001 / NIS2 jeden integralny pakiet zamiast klikania pięciu osobnych eksportów.

Zaplanowany dzienny digest dostarcza nowe CVE do skrzynki lub na kanał Telegram. Wybierasz godzinę wysyłki, liczoną w strefie czasowej konta.

Zaproś zewnętrznych audytorów lub zespoły compliance jako tylko-do-odczytu. Widzą wyniki i raporty - bez dostępu do kluczy API, rozliczeń ani konfiguracji.

Kluczowe działania są rejestrowane: kto, co i kiedy. Dziennik tylko do dopisywania, dostępny dla roli AUDITOR, eksportowalny do CSV. Przydatny materiał przy dokumentowaniu procesu na potrzeby ISO 27001 i NIS2.

Podziel maszyny na osobne projekty w jednym koncie, każdy z własnym składem zespołu i raportowaniem. Przydatne dla MSP, holdingów lub zespołów z oddzielnymi środowiskami.

Opisy CVE z NVD są po angielsku. Wbudowany translator renderuje je po polsku - przyspiesza triage dla zespołów które na co dzień nie pracują po angielsku.

Klucz API projektu, endpoint audytu agenta i eksport Prometheus /metrics - scrapuj podatności swojej floty do własnego Prometheusa i wykresuj na Grafanie.

Zapisuj incydenty bezpieczeństwa wraz z osią czasu, klasyfikacją i osobami zaangażowanymi. NIS2 nakłada na podmioty objęte ustawą obowiązek zgłaszania incydentów; rejestr trzyma materiał potrzebny do zgłoszenia, zamiast odtwarzania go po fakcie z pamięci.

Zamroź zamknięty okres raportowy: zestaw dowodów zostaje zapisany jako snapshot i zahaszowany SHA-256, więc późniejsza zmiana rozjedzie się z zapisanym skrótem. Zamknięcia dokonuje OWNER lub ADMIN, pozostali tylko je odczytują.

Zobacz od razu, które wymagania mają już dowody, a które nie - zanim lukę znajdzie audytor. Dostępna dla ról OWNER, ADMIN i AUDITOR.

Pobierz gotowy dokument polityki zarządzania podatnościami, spójny z tym, jak platforma faktycznie działa. Audytor pyta o spisaną politykę, nie tylko o wyniki skanów.

Lista priorytetów grupuje otwarte podatności w zadania według pakietu i pokazuje kolejność działań. Na kolejność wpływają status KEV i istotność, więc zaczynasz od pakietu, który ma największe znaczenie, a nie od płaskiej listy CVE.

Przypisz podatność do osoby, a ona otworzy jeden ekran z własnym zakresem pracy. Remediacja przestaje być wspólną listą, za którą nikt nie odpowiada.

Ustal terminy naprawy podatności i śledź, co naprawiono w terminie, co jest po terminie, a co pozostaje poza pomiarem. Ten procent to liczba, o którą pyta audytor.

Zabezpiecz samo konto: TOTP z dowolnej aplikacji uwierzytelniającej, kody odzyskiwania i zaufane urządzenia, plus wylogowanie ze wszystkich urządzeń jednym kliknięciem. Włączane per użytkownik, w każdym planie.

Alerty o nowych CVE i digesty trafiają tam, gdzie zespół już pracuje. Każdy przychodzi jako natywna karta, nie surowy link: Slack Block Kit, Teams Adaptive Card, Discord embed. Jest też uniwersalny webhook do własnych narzędzi i przycisk Testuj, żeby potwierdzić dostarczenie, zanim na tym polegniesz.

Tygodniowy albo miesięczny PDF dla zarządu, wysyłany mailem według własnego harmonogramu. Cykl ustawiasz per konto, a ten sam raport pobierzesz z panelu w dowolnym momencie.

Kontekst odróżnia pakiety nieuruchomionego jądra od przypadków wymagających restartu, więc znalezisko nie jest czytane jak zwykłe zadanie „zainstaluj aktualizację”.

Ważna decyzja pakietowa może oznaczyć objęte nią podatności jako „nie dotyczy”, z uzasadnieniem i terminem przeglądu. Raport ISO pokazuje je w osobnej sekcji poza SLA, z podanym powodem.

Krytyczność maszyny i jej ekspozycja wpływają na kolejność napraw. Istotność podatności pozostaje bez zmian, zmienia się tylko kolejność pracy.

Werdykt raportu zarządczego wynika z terminowości SLA, luk rejestru, starych skanów, luk EOL i decyzji o ryzyku. Sama liczba CVE go nie wyznacza.

Kontrola na poziomie maszyny porównuje ostatni pełny skan z rejestrem SLA. Wskazuje brak wpisów albo rejestr, którego najnowszy wpis jest starszy od skanu.

Skan oznaczony jako nieudany lub częściowy nie zamyka podatności w rejestrze. Zabezpieczenie blokuje też zamknięcia przy wykrytym gwałtownym spadku liczby znalezisk.

Zapisuje lokalizację dowodu, jego właściciela, cykl i historię przeglądów. Stan przeglądu wynika z tych danych.

Dla ról TECH i AUDITOR z przypisanymi projektami dostęp do maszyn jest ograniczony do maszyn tych projektów.