關于Xygeni

Xygeni專注于通過應用程序安全態(tài)勢管理（ASPM）平臺提升軟件開發(fā)的安全性與效率。我們提供對應用風險的全面掌控，實現(xiàn)從代碼到云端的統(tǒng)一安全視圖，并消除干擾以有效優(yōu)先處理風險。憑借先進的惡意軟件檢測與預警系統(tǒng)，Xygeni在抵御新興威脅方面處于行業(yè)領先地位，確保軟件交付快速且安全。

 

 

現(xiàn)代SCA：可達性分析、[自動]修復與惡意軟件預警

借助Xygeni早期惡意軟件檢測，最小化風險并守護應用安全。

 

通過可達性分析聚焦可利用漏洞，降低誤報率。實時監(jiān)控功能可在軟件受到威脅影響前檢測并緩解依賴項中的安全隱患。

 

最新報告顯示，近四分之三的代碼庫現(xiàn)已包含高風險開源組件。漏洞率在短短一年內飆升至74%（此前為48%）。更令人擔憂的是，其中91%的組件至少落后10個版本，極大加劇了安全風險。惡意開源包呈火箭式增長，年增長率超過300%，2023年檢測到的惡意包已突破24.5萬個。是時候采取行動了！

 

Xygeni的軟件成分分析（SCA）突破基礎漏洞檢測范疇，引入可達性與可利用性分析，助您聚焦真正關鍵問題。當其他工具用警報淹沒團隊時，Xygeni依據(jù)實際影響對漏洞進行優(yōu)先級排序，確保團隊減少追查誤報的時間。

 

借助自動修復功能，Xygeni大幅降低軟件安全防護所需的時間與精力。針對已知漏洞自動生成包含修復方案的拉取請求，加速修復流程，保障項目安全合規(guī)。

 

我們的實時監(jiān)控覆蓋多個公共注冊庫，確保所有依賴項持續(xù)接受安全完整性掃描與驗證，助您全面掌控開源軟件供應鏈。

 

風險依賴項與漏洞的高級檢測

Xygeni可疑依賴項掃描器通過識別誤植域名（typosquatting）、依賴混淆及可疑安裝腳本等風險，幫助檢測并緩解供應鏈攻擊。通過分析依賴關系圖譜，Xygeni確保您的軟件免受受損組件的侵害。

 

當依賴項被標記為可疑時，Xygeni提供詳細修復策略，包括版本固定、白名單機制及風險腳本屏蔽，有效阻止威脅滲透項目。

 

支持的高風險依賴檢測器概覽

Xygeni掃描器覆蓋多生態(tài)系統(tǒng)的全面檢測能力，助力安全團隊精準識別并應對不斷演變的威脅。

 

可疑依賴項檢測器類型

• 異常依賴項：檢測可能暗示安全風險的異常依賴項。

• 依賴混淆：識別可能被誤認為公共倉庫版本的內部包名稱。

• 已知漏洞：標記存在已記錄安全缺陷的依賴項。Xygeni整合了NVD、OSV、Github安全公告等數(shù)據(jù)庫。

• 惡意軟件：檢測包含已知惡意威脅的依賴項。

• 可疑腳本：識別可能執(zhí)行未經授權或有害操作的腳本。

• 域名搶注：攔截名稱高度相似的惡意包。

• 未受限內部組件：標記存在公開暴露風險的未受限NPM組件。

 

簡化開源許可管理

Xygeni掃描評估許可證，防范法律風險并確保合規(guī)，助您安心使用開源軟件。

 

保障軟件更新與安全

Xygeni實時監(jiān)控并標記過時組件，確保運行最安全版本以降低風險并提升性能。

 

惡意軟件早期檢測、攔截與通知

新包發(fā)布后，Xygeni即刻啟動實時掃描，通過代碼行為分析檢測并攔截惡意軟件，免除構建后耗時緊急的修復流程。系統(tǒng)化流程如下：

1.持續(xù)掃描：

• 公共注冊庫監(jiān)控：持續(xù)掃描NPM、Maven、PyPl等多個公共注冊庫。

• 即時通知受影響用戶：一旦檢測到潛在威脅，系統(tǒng)立即通知相關用戶，實現(xiàn)快速響應以降低風險。通知可通過Xygeni標準機制（如郵件、消息平臺、Webhook）觸發(fā)。

 

2. 隔離機制：

• 自動攔截零日惡意軟件：可疑軟件包被檢測后將自動隔離?？蛻艨蓳?jù)此在CI/CD流程中設置防護措施，阻止相關軟件包進入開發(fā)環(huán)境或更廣泛的軟件供應鏈。

 

3. 審查與確認：

• 安全研究員代碼審查：安全研究團隊對隔離包進行代碼審查以驗證威脅。

• 公共注冊庫確認：經內部團隊確認后，我們將向公共注冊庫通報，該注冊庫應確認發(fā)現(xiàn)結果并驗證威脅等級及惡意軟件/漏洞性質。

 

4. 處置與公開披露：

• 處置流程：確認威脅后采取安全處置措施，確保威脅無法重新進入生態(tài)系統(tǒng)。

• 公開披露：通過產品渠道、Xygeni博客或軟件包注冊庫公開披露惡意軟件詳情及處置方案，以警示更廣泛的社區(qū)并防止進一步擴散。

 

通過可達性分析，優(yōu)先處理真正重要的事項

多數(shù)安全工具會生成大量警報，卻未評估漏洞是否可被實際利用。Xygeni的可達性分析通過識別漏洞在應用程序中的實際可達性，確保團隊僅關注真實威脅。

 

通過分析代碼執(zhí)行路徑和依賴項使用情況，Xygeni將誤報率降低高達70%，確保修復工作聚焦于真正存在風險的問題。

 

結合漏洞利用預測評分系統(tǒng)（EPSS），Xygeni還能根據(jù)漏洞被利用的可能性進行優(yōu)先級排序，助力安全團隊高效配置資源。

 

Xygeni可達性分析為您帶來：

• 調用圖追蹤：精準映射漏洞通過依賴項傳播的路徑

• EPSS優(yōu)先級排序：基于實際利用概率對漏洞進行評分

• 依賴項級可達性：區(qū)分使用與未使用組件，減少冗余修復

• 持續(xù)監(jiān)控與CI/CD集成：確保代碼演進過程中漏洞的實時評估

 

修復風險：更智能而非更冒險

并非每次升級都是正確選擇。Xygeni-SAST超越單純檢測，揭示每項修復背后的風險。針對每個存在漏洞的依賴項，您可對比補丁方案并查看：

 

• 已修復風險：更新后消失的漏洞

• 新增風險：升級可能引入的問題

• 破壞性變更：可能導致代碼中斷的版本跳躍

憑借這些洞察，團隊能選擇最安全的補丁路徑，消除漏洞的同時避免引入噪音或新問題。

 

加速安全防護：自動修復功能

手動修復漏洞耗時費力，拖慢開發(fā)進度。Xygeni的自動修復功能徹底改變這一流程，可自動生成已檢測漏洞的修復方案，讓團隊在不影響工作流程的情況下保障應用安全。

 

批量自動修復功能更進一步——支持團隊同時應用多個修復方案，解決不同依賴項中的漏洞，大幅縮短修復時間并降低工作量。

 

工作原理：

 

1. 自動修復建議：Xygeni分析漏洞后直接在工作流中提供修復方案

2. 批量自動修復：單次操作應用多項修復措施，顯著減少安全債務

3.無縫CI/CD集成：自動化修復不影響開發(fā)進度，確保安全能力深度嵌入管道。

4.拉取請求生成：自動創(chuàng)建含補丁版本的拉取請求，實現(xiàn)快速部署。

 

借助Xygeni自動修復功能，企業(yè)能更快消除安全風險、釋放開發(fā)資源，

在無需人工干預的情況下保障應用安全。

 

SBOM與VDR功能

SBOM的監(jiān)管要求：

面對日益嚴峻的網(wǎng)絡安全威脅，全球監(jiān)管機構正逐步強制要求使用軟件物料清單（SBOM）。SBOM能清晰呈現(xiàn)軟件應用的組件構成，助力完善漏洞管理并符合安全標準。

 

要求提供SBOM的法規(guī)包括：

1. 美國第14028號行政命令：聯(lián)邦機構必須要求軟件供應商提供SBOM

2. 美國NIST指南：支持采用SBOM保障供應鏈安全，與第14028號行政命令相呼應

3. 歐盟網(wǎng)絡安全戰(zhàn)略：倡導透明與安全，鼓勵使用SBOM

4. 網(wǎng)絡安全成熟度模型認證（CMMC）（美國）：鼓勵國防承包商采用SBOM。

5. FDA網(wǎng)絡安全指南（美國）：建議醫(yī)療設備申報中提交SBOM。

6. ISO/IEC標準：考慮將SBOM納入軟件安全實踐。

7. 汽車網(wǎng)絡安全法規(guī)（全球）：新興法規(guī)要求聯(lián)網(wǎng)車輛采用SBOM。

8. 能源領域法規(guī)（全球）：NERC等監(jiān)管機構探索采用SBOM保護關鍵基礎設施。

 

Xygeni對SPDX與CycloneDX標準的支持：

SPDX作為廣受認可的標準，通過詳述軟件包內組件及許可信息提升透明度。Xygeni對SPDX的兼容性使客戶能高效記錄并傳達軟件內容，滿足全球合規(guī)與透明度要求。此外，作為輕量級SBOM標準CycloneDX的支持者（該標準適用于應用安全與軟件供應鏈分析），Xygeni倡導務實的SBOM管理方法。雙標準支持機制使客戶能夠根據(jù)具體運營需求與偏好，靈活選擇最適配的規(guī)范體系。

 

漏洞披露報告(VDR)集成：

Xygeni通過將漏洞披露報告(VDR)整合至其軟件物料清單(SBOM)生成流程，強化了軟件安全管理。我們的VDR全面呈現(xiàn)產品及其依賴項中所有已知漏洞，分析潛在影響并制定修復策略。此外，VDR有助于滿足嚴格的網(wǎng)絡安全標準，并簡化修復流程。

 

易用性：

Xygeni作為用戶友好型平臺，通過命令行界面（CLI）和網(wǎng)頁用戶界面（WebUI）雙重方式簡化軟件物料清單（SBOM）生成流程。這種雙界面設計確保了Xygeni能滿足各類用戶需求——無論是偏好CLI操作直接控制權的開發(fā)人員，還是青睞WebUI直觀導航與可視化洞察的安全專家。通過簡化SBOM生成流程，Xygeni助力用戶高效識別與管理軟件組件，成為現(xiàn)代軟件開發(fā)與安全管理不可或缺的工具。

 

集成至CI/CD管道：

Xygeni的真正價值在于其與持續(xù)集成/持續(xù)部署（CI/CD）管道的無縫集成。這種集成對自動化生成SBOM至關重要，確保每次軟件構建都附帶實時更新的物料清單。通過Xygeni自動化該流程可節(jié)省時間、減少人為錯誤風險，并通過即時風險評估與漏洞管理提升安全實踐。該功能使團隊能在軟件進入生產環(huán)境前盡早解決潛在安全隱患。

 

全面掃描的安全門控

Xygeni不僅支持全系統(tǒng)掃描，還可針對特定組件或變更進行定向掃描，完美適配全面安全審計與增量更新需求。其安全門控掃描功能進一步提升實用性，使團隊能在CI/CD管道的關鍵節(jié)點實施嚴格安全檢查。這些掃描可觸發(fā)需緊急處理的重大問題警報，助力團隊對新興威脅做出快速精準響應。

 

Xygeni-SCA 代碼安全防護

檢測漏洞、攔截惡意代碼、守護應用程序——全部囊括在一個強大的解決方案中。

• 無需信用卡

• 快速部署，即時結果