В первой и второй частях этой серии мы рассказали о том, как централизовать инструменты AppSec и использовать Wiz Security Graph для изоляции критических путей атаки. Естественным следующим шагом к обеспечению безопасности вашей среды является устранение этих рисков, но для большинства команд AppSec исправление уязвимостей в масштабе остается сложной задачей.
Команды вкладывают значительные средства в сканеры SAST, SCA, Secrets и DAST, но в итоге получают бэклог, который «застревает» после этапа сортировки. Согласно отчету Verizon DBIR, неисправленные уязвимости остаются главным вектором атак, при этом организациям требуется в среднем 47 дней для применения патча (ранее этот показатель составлял 32 дня). Такие устаревшие сроки больше не приемлемы, когда модели ИИ сокращают время от обнаружения уязвимости до ее активной эксплуатации.
Очевидно, что основное «узкое место» в AppSec заключается не в поиске рисков, а в их быстром исправлении в коде. Ускорение процесса устранения требует решения трех задач: точно знать, какой разработчик отвечает за исправление, независимо от сканера; предоставлять им точный контекст, необходимый для выполнения исправления; и автоматизировать весь этот рабочий процесс в масштабе.
В этой заключительной части мы рассмотрим, как Wiz Code ускоряет устранение уязвимостей и снижает нагрузку на инженерные команды:
- Упрощенное сопоставление владельцев: определение нужного разработчика, которому следует назначить задачи по устранению.
Упрощенное сопоставление владельцев: определение нужного разработчика, которому следует назначить задачи по устранению.
- Предоставление агентских, адаптированных решений: создание пошаговых планов устранения, прямых пулл-реквестов и передача задач агентам по написанию кода с помощью Green Agent.
Предоставление агентских, адаптированных решений: создание пошаговых планов устранения, прямых пулл-реквестов и передача задач агентам по написанию кода с помощью Green Agent.
- Автоматизация реагирования: оркестрация тикетов, оповещений для разработчиков и кампаний по безопасности на основе SLA с помощью Wiz Workflows.
Автоматизация реагирования: оркестрация тикетов, оповещений для разработчиков и кампаний по безопасности на основе SLA с помощью Wiz Workflows.
Устранение начинается с сопоставления владельцев
Первое серьезное препятствие при устранении уязвимостей — просто понять, кто должен выполнять эту работу. В сложных корпоративных средах командам безопасности часто трудно сопоставить работающую облачную уязвимость с разработчиком, который написал исходный код. Традиционные сканеры кода видят только имя репозитория, ветку или дайджест контейнера, не понимая организационной структуры. Команды часто вручную поддерживают сопоставления приложений с владельцами, поэтому оптимизация этого шага может значительно сократить среднее время устранения (MTTR).
Благодаря нашему безагентному подключению к вашей системе контроля версий (VCS), Wiz отслеживает облачный актив непосредственно до конкретного репозитория и автора коммита.
Для обеспечения точности Wiz определяет владельца путем сопоставления нескольких точек данных по всей вашей инфраструктуре. Анализируя теги ресурсов, облачные логи, данные CMDB, историю коммитов кода, сопоставления в Service Catalog и владельцев проектов, платформа направляет проблемы именно тому человеку, который обладает полномочиями для действий.
Это критически важный первый шаг для расследования Wiz Green Agent. Перед созданием исправления агент автоматически определяет и предлагает наиболее подходящего владельца кода на основе ваших многоуровневых политик владения.
Адаптированные исправления, основанные на контексте кода и инфраструктуры
Как только нужный разработчик назначен, следующим препятствием становится получение практических рекомендаций. Разработчики сосредоточены на выпуске функций, а не на изучении результатов сканирования безопасности, но в модели DevSecOps именно они отвечают за устранение уязвимостей. Стандартные исправления от автономных сканеров оценивают изолированные файлы и часто рекомендуют общие обновления версий. Wiz Green Agent выходит за рамки общих рекомендаций LLM, предоставляя пошаговые планы устранения, адаптированные к вашей конкретной среде на основе доступа к Security Graph.
Это включает в себя исправления для результатов сканирования безопасности приложений, полученных от сторонних сканеров, таких как Snyk, Checkmarx, Semgrep и других.
Поскольку агент понимает полный контекст от кода до облака, он создает комплексный план по устранению первопричины. Для исправлений в коде разработчики получают два практических варианта:
- Создание пулл-реквеста: Wiz генерирует точное исправление кода и открывает пулл-реквест (PR) непосредственно в вашем репозитории для проверки и слияния разработчиком.
Создание пулл-реквеста: Wiz генерирует точное исправление кода и открывает пулл-реквест (PR) непосредственно в вашем репозитории для проверки и слияния разработчиком.
- Отправка агенту по написанию кода: Wiz может поделиться рекомендациями Green Agent по устранению с корпоративным агентом по написанию кода, таким как Claude Code, чтобы создать PR для проверки разработчиком.
Отправка агенту по написанию кода: Wiz может поделиться рекомендациями Green Agent по устранению с корпоративным агентом по написанию кода, таким как Claude Code, чтобы создать PR для проверки разработчиком.
Автоматизация сценариев устранения там, где работают разработчики
Создание адаптированного исправления полезно только в том случае, если нужный разработчик действительно его увидит. Разработчики редко хотят заходить в специализированную платформу безопасности, чтобы разобраться в своем бэклоге задач, и ничто так не подрывает доверие, как получение отдельных тикетов об одной и той же находке от разных инструментов. Чтобы ускорить устранение, команды AppSec должны взаимодействовать с разработчиками в тех инструментах, которые они уже используют.
Именно здесь Wiz Workflows выступает в качестве вашего движка автоматизации.
Как только проблема идентифицирована и владелец сопоставлен, Wiz Workflows может автоматически направить тикет непосредственно в Jira, ServiceNow или выбранную вами ITSM-платформу. Вы также можете настроить рабочие процессы для отправки оповещений в реальном времени конкретным владельцам кода через Slack или Microsoft Teams. Workflows — это мощная система, позволяющая координировать действия между различными системами (Wiz или внешними) в рамках настраиваемых многошаговых процессов.
Важно отметить, что эти автоматизированные тикеты включают в себя весь исходный контекст от ваших подключенных сторонних сканеров наряду с планом устранения от Green Agent. Назначенный разработчик получает детали репозитория, версии компонентов, данные об уязвимостях и контекст облака/среды выполнения, которые ему необходимы. Предоставляя полный контекст непосредственно в их рабочую среду, вы избавляете разработчиков от необходимости переключаться между инструментами для выполнения исправления.
От видимости к готовности к угрозам с помощью ИИ
В эпоху, когда ИИ ускоряет как генерацию кода, так и скорость эксплуатации уязвимостей, традиционные инструменты ASPM, которые просто агрегируют оповещения, оставляют команды безопасности в тупике сортировки. Истинная готовность к угрозам с помощью ИИ требует активной стратегии ASPM, которая связывает статический код с контекстом «живого» облака, чтобы выделить реальные, эксплуатируемые пути атаки на фоне теоретического шума.
Wiz Code предоставляет эту полную операционную структуру, объединяя проприетарные и сторонние сканеры, анализ рисков Security Graph и агентское устранение в единую платформу. Автоматизируя путь от владения кодом до проверенных пулл-реквестов, Wiz Code дает командам безопасности возможность устранять риски со скоростью машины и опережать современные угрозы.
