För DevOps- och DevSecOps-team
Lägg till bifrost i den pipeline du redan kör och skydda utan att skriva regler
Installera ett Helm-chart och lägg till en label och en annotering: inga kodändringar, inga sidecars, inga regler att skriva. På under 10 minuter har du en första bedömning av vilka CVE:er som går att utnyttja. Den skärps till omdömen när bifrost lär sig varje arbetslast, och varje arbetslast går från observera till enforce när du bestämmer det, med under 1 % CPU-overhead i produktion.
2 847
rapporterade CVE:er
1 562
aldrig laddade
1 000
mitigerade av profilen
285
nåbara
En väg från CVE-prioritering till skydd på kärnnivå
För plattforms- och säkerhetsteam är bifrost en väg framåt i fyra steg: förstå och utvärdera vad varje arbetslast gör, få ett omdöme för varje CVE, upptäck det som avviker i staging och aktivera enforce-läget i produktion.
- 01Förstå
Kunskap från arbetslastens eget beteende
En label och en annotering, sedan observeras varje bygge före produktion: vilken miljö det körs i och hur det är konfigurerat, vad det innehåller, vilka CVE:er det bär på och vilka systemanrop, filer och anslutningar det använder för att göra sitt jobb. Sedan utvärderar bifrost beteendet mot sin kunskap om hur tjänster byggda på samma ramverk beter sig, flaggar svagheter och bedömer hur fullständigt arbetslasten har fångats. Om din app läser /etc/passwd tillåter profilen det, och bifrost flaggar det så att du kan hålla koll.
- 02Prioritera
Ett omdöme för varje CVE
Varje CVE får ett omdöme utifrån det som faktiskt körs: nåbar, mitigerad av profilen eller aldrig laddad. Upp till 90 % färre CVE:er att triagera, utan manuell triagering, och det som når dig kommer med bevisen bakom sitt omdöme.
- 03Upptäck
Avvikelser med kontext
Aktiva SBOM:er skannas om under dagen och CVE:er bedöms på nytt utifrån den kontext om arbetslasten som bifrost redan har. När beteendet avviker i staging eller en nyligen publicerad CVE visar sig vara nåbar når det dig i Slack, Microsoft Teams eller via en webhook, med kontext och besked om vilken åtgärd som behövs, aldrig ett fynd utan förklaring.
- 04Enforce
Tillåt bara det den gör
Varje arbetslast körs under en profil som lärts in från vad den gör, och inget annat. I enforce-läge nekas allt utanför profilen innan det körs och rapporteras som en relevant säkerhetshändelse, med pod, image och uppgift om vilken åtgärd som försökte utföras. En exploit som behöver ett systemanrop, en fil eller en socket som arbetslasten aldrig använder stoppas i samma stund som den försöker använda det. Inget blockeras förrän du ställer om en arbetslast till enforce-läge, och det beslutet är ditt.
Det här förändras med bifrost
Inga regler att underhålla, ärenden med bevisen bifogade och en driftsättning som passar dina befintliga flöden med Helm, GitOps och CI, utan kodändringar.
Inga regler att skriva eller hålla aktuella
Handskrivna regelverk omfattar från ~200 till 10 000 regler, och någon måste skriva, testa och uppdatera dem varje gång mjukvaran ändras. bifrost genererar varje arbetslasts profil utifrån inlärt beteende och inbyggd kunskap, och genererar den på nytt med varje bygge, så profilen är lika aktuell som releasen den skyddar.
Patchärenden som utvecklarna accepterar
Ärendena du skickar innehåller omdömet och bevisen bakom det, så att en utvecklare ser varför en CVE är nåbar i stället för att diskutera om den är det. Diskussionerna om falska positiva fynd avgörs med data.
Byggt för GitOps
Säkerhetsprofiler lagras som kod i ditt Git-repo, och bifrost installeras med ett enda Helm-kommando, med värden för varje miljö. Granska, versionshantera och driftsätt båda som all annan infrastruktur.
Redo för din CI/CD-pipeline
Ta in profilvalidering och CVE-omdömen i GitHub Actions, GitLab CI eller valfritt CI-system. SBOM:er (CycloneDX, SPDX) kommer direkt från pipelinen, så varje bygge har sin säkerhetskontext med sig innan det levereras.
Minimal overhead
Under 1 % CPU-overhead i produktion. Profilerna upprätthålls av kärnans egna säkerhetsmoduler, inte av en sidecar eller en proxy, så säkerheten bromsar inte dina kluster.
Stöd för flera kluster
Hantera säkerhetsprofiler i alla kluster från ett och samma kontrollplan. En vy över alla miljöer och alla tjänster.
Det här kan du visa
En vy över alla miljöer, alla tjänster och alla CVE:er, med stöd i det som faktiskt körs. Samma siffror fungerar för både utvecklare och ledning.
2 847
CVE:er totalt
1 562
Aldrig laddad
1 000
Mitigerad av profilen
285
Nåbar
Användningsfall
Så använder plattformsteam bifrost för att införa skydd på kärnnivå och bedöma nästa CVE utifrån den kontext om arbetslasterna som bifrost redan har.
Automatiserad säkerhet i pipelines
Lägg till profilkontroller i de CI/CD-flöden du redan kör.
Stäng attackfönstret
En profil i enforce-läge blockerar exploits som kräver operationer utanför den, redan innan det finns en patch. Se vilka CVE:er som fortfarande behöver patchas.
Säkerhet i leveranskedjan
Begränsa vad komprometterade beroenden kan göra med skydd på kärnnivå och ett omdöme för varje CVE de bär på.
Hantering av flera miljöer
Stegvis införande från observera till enforce, en miljö i taget.
Ett svar, inte ett krismöte
Skyddsstatus först, sedan omfattning och nästa åtgärd. Se hur det fungerar i din miljö: boka en demo på 30 minuter eller prova i ditt eget kluster i 14 dagar.