Xygeni：应用安全态势管理（ASPM）

公司简介

Xygeni专注于通过应用安全态势管理（ASPM）平台提升软件开发的安全性与效率。我们提供对应用风险的全面掌控，实现从代码到云端的统一安全视图，并消除干扰以有效优先处理风险。凭借先进的恶意软件检测与预警系统，Xygeni在抵御新兴威胁方面处于行业领先地位，确保软件交付既快速又安全。

 

从代码到云端统一风险管理

Xygeni的应用安全态势管理（ASPM）革新团队对风险的可视化呈现、优先级排序与修复流程。我们的平台提供实时可视化与情境化分析，简化安全管理，确保应用程序从开发到部署全程受保护。

 

安全警报管理是重大挑战，尤其当48%的企业每日接收超过10,000条警报时。其中逾半数（高达52%）为误报，导致警报疲劳并削弱对安全系统的信任。团队亟需帮助筛选噪音，而关键相关漏洞却常被忽视。

 

实践表明，通过采用最新技术，误报率可降低60%，显著厘清安全态势，使团队专注应对真实威胁。

 

Xygeni的应用安全态势管理（ASPM）通过整合精准的专有扫描技术与高级优先级排序功能，有效应对这些挑战。该方案综合考量资产关联性、严重程度、可利用性、暴露风险、业务影响及其他客户自定义标准等上下文信息，可减少多达90%的冗余警报。这种战略聚焦使团队能优先处理最紧迫问题，显著提升安全响应效率。

 

自动化资产发现与库存管理：

Xygeni自动识别并归档软件供应链中的所有资产，增强开发部署流程的可视化与管控能力。从源代码管理系统到构建工具、CI/CD工作流及分发机制，Xygeni全面捕获资产清单，涵盖代码仓库、开源/私有依赖项、包管理器、管道与任务、脚本及构建文件、插件工具、基础设施即代码(IaC)模板及云资源。

 

此外，Xygeni 自动识别并持续监控所有资产，评估其相互依赖关系，以及每个资产、应用程序和客户定义的组或类别的个体与整体安全态势。

 

用户与贡献者分析

Xygeni通过整合全面的协作者分析功能增强资产清点能力。该分析对管理软件仓库相关的管理用户、贡献者及协作者至关重要。通过扫描评估开发流程中个体的角色与活动，Xygeni助力组织实现最小权限原则，识别并缓解与非活跃用户或权限过高用户相关的风险。核心功能包括：

 

1.全面权限审查：扫描所有对仓库具有读取、写入或管理权限的SCM（源代码管理）用户账户，涵盖直接授予用户或从仓库访问组继承的权限。

 

2.组与用户追踪：系统登记所有SCM组（含高权限用户），确保监控并管控所有潜在访问点。

 

3. 非SCM贡献者识别：Xygeni还能识别未关联SCM账户但曾提交代码至Git历史的用户。通过跨分支追踪贡献记录，全面呈现影响代码库的开发者全貌。

 

高级动态优先级排序：

Xygeni的优先级排序功能超越了标准方法，通过整合动态漏斗机制实现深度定制与精准筛选。客户可在优先级排序漏斗中定义多达八个阶段，不仅可按严重程度分级，更能依据问题类型和类别进行定制。这种灵活性确保每个组织都能根据自身安全政策和运营需求，聚焦于风险最高的漏洞。

 

该漏斗系统支持整合客户自定义属性与预配置阶段（如可达性、可利用性等），使组织能基于自身环境的关键标准进一步优化安全关注点，更高效地管理漏洞。通过运用Xygeni动态漏斗，团队可优化安全工作，确保关键问题得到快速识别与处理。

 

第三方安全报告整合：

Xygeni的应用安全态势管理（ASPM）平台通过无缝集成第三方安全工具报告（包括静态应用安全测试SAST与软件成分分析SCA工具）增强其能力。此整合使组织能够利用现有技术栈，实现跨工具平台的安全威胁全景视图。通过整合关联这些报告，Xygeni帮助团队在统一框架下理解自身安全态势，确保所有潜在漏洞得到高效识别、优先级排序与处理。该集成主要优势包括：

 

• 统一安全仪表板：将各类工具的检测结果整合至单一综合仪表板，便于监控分析

• 增强威胁检测：融合多源数据提供更全面的安全风险评估

• 高效修复机制：通过集中化漏洞管理，实现对安全问题的快速协同响应。

 

安全事件审计追踪

Xygeni的应用安全态势管理平台配备强大的安全审计追踪功能，可为每个资产生成完整的事件时间线。该功能追踪并记录所有重要活动，包括变更、更新及安全事件，确保用户能清晰详尽地查看软件环境中每个资产的安全历史记录。我们安全审计追踪的核心能力包括：

 

• 事件登录：每项资产相关的修改、更新或安全事件均被精确记录，形成可用于故障排查、合规审计及安全调查的关键时间序列记录。

• 全面覆盖：审计轨迹涵盖从代码提交、构建配置到部署活动及配置修改等广泛事件，确保资产生命周期的各个环节均受监控。

• 便捷访问与可视化：用户可通过Xygeni直观界面轻松访问并可视化审计日志，快速定位特定事件或模式。

• 强化安全合规：通过详细记录每项资产的所有操作，企业能提升安全态势并满足监管要求，既便于验证流程合规性，又能早期发现潜在安全漏洞。

 

快速高效的修复流程

Xygeni的ASPM平台通过提供详细指引和自动化操作来优化风险与漏洞修复流程。针对每个具体问题提供清晰可行的步骤，实现快速有效的解决。与工单及追踪工具的集成便于工作流更新，确保漏洞得到及时处理。

 

第三方安全报告集成

Xygeni平台支持上传第三方工具及Xygeni扫描生成的报告。通过报告上传命令，可将外部扫描结果整合至Xygeni生态系统进行综合分析与管理。

 

上传后，该命令将验证并规范化扫描结果，将其转换为Xygeni标准格式。标准化处理确保不同工具的检测结果获得统一处理，从而优化平台的优先级排序、过滤及修复工作流。

 

用户可指定报告文件及其格式，以确保准确处理。若未明确指定格式，系统将自动推断。此外，用户可设置业务价值或架构重要性等自定义属性，这些属性将影响平台对检测结果的优先级排序与处理方式。

 

Xygeni与众多第三方安全工具集成，增强了平台管理各类安全评估的能力。以下是支持的扫描器及格式概述：

 

支持的分析类型：

• 软件成分分析（SCA）

• 静态应用安全测试（SAST）

• 基础设施即代码（IaC）缺陷

• 密钥检测

 

支持工具：

• Checkmarx（SCA/SAST/IaC）

• Fortify（SAST）

• Snyk（SCA）

• Checkov（IaC）

• KICS（IaC）

• GitLeaks（机密信息）

 

支持格式：

• SARIF（多种分析类型的标准格式）

• JSON（广泛用于所有类型分析）

• XML（特定用于某些SAST工具如Checkmarx）

• .fpr和.fvdl（专用于Fortify SAST）