A Wiz egy platformra hozza a penetrációs tesztek eredményeit

Egy helyre kerülnek a különböző forrásból származó megállapítások

A Wiz augusztus 19-én jelentette be, hogy a Wiz Penetration Test Findings elérte az általános rendelkezésre állási állapotot, vagyis GA lett. A vállalat szerint a funkció az offenzív biztonsági csapatok számára egyetlen felületet kínál a penetrációs tesztek eredményeinek kezelésére.

A rendszerbe bekerülhetnek a bug bounty programok, külső auditok, belső red team gyakorlatok és AI-alapú penetrációs tesztek megállapításai. A korábban PDF-ekben vagy külső, elkülönített portálokon tárolt eredményeket a Wiz platformja a felhőkörnyezettel kapcsolja össze, rangsorolja, és a javítás lezárásáig nyomon követi.

A megoldás a Continuous Threat Exposure Management, röviden CTEM megközelítését támogatja. Ennek öt szakasza a hatókör meghatározása, a felderítés, a rangsorolás, az ellenőrzés és a mozgósítás. A Wiz célja, hogy a penetrációs tesztek által igazolt kockázatok visszakerüljenek a felderítés, a rangsorolás és a javítás folyamatába.

A felhőkörnyezet adatai alapján rangsorolható a kockázat

A Wiz szerint egy papíron szereplő, 9,0-s CVSS-értékű megállapítás egy elszigetelt tesztkonténert is érinthet, miközben egy 6,0-s értékű hiba hozzáférést biztosíthat érzékeny ügyféladatokat tároló éles adatbázishoz. A Penetration Test Findings a Wiz Security Graphhoz kapcsolja a teszteredményeket, így figyelembe veszi többek között a külső hálózati kitettséget, a jogosultságokat, a titkokat, az adatokat és az oldalirányú mozgás lehetséges útvonalait.

A vállalat Graph Controls funkciója olyan támadási útvonalakat jelenít meg, amelyek a penetrációs tesztek megállapításaihoz kapcsolódnak. Ez segíthet a hatókör és a lehetséges károk felmérésében, valamint abban, hogy a csapatok a környezet szempontjából fontosabb kockázatokat vegyék előre.

A Wiz szerint a megállapítások ugyanazon a felületen láthatók, függetlenül attól, hogy automatizált Wiz-vizsgálat, HackerOne-jelentés, külső audit PDF-dokumentuma vagy AI-alapú tesztelőügynök hozta létre őket. Az automatikus tulajdonos-hozzárendelés és a kódtól a felhőig tartó követés a felelős fejlesztő vagy csapat azonosítását is támogatja.

AI dolgozza fel a jelentéseket és segíti a javítást

A szolgáltatás egyik új képessége a PDF-jelentések AI-alapú feldolgozása. A felhasználók közvetlenül feltölthetik a penetrációs tesztek dokumentumait, az AI pedig kinyeri belőlük az egyes megállapításokat, a súlyossági besorolást, a bizonyítékokat, a reprodukciós lépéseket és az érintett eszközöket. A Wiz példája szerint egy statikus, 50 oldalas PDF néhány perc alatt strukturált, kezelhető tételekké alakítható.

A Mika AI segítségével a megállapítások létrehozása beszélgetésen keresztül is elvégezhető. Az asszisztens lépésről lépésre vezeti a folyamatot, javaslatot tesz a megfelelő felhőerőforrásra, és strukturálhatja a nyers jegyzeteket, Slack-üzeneteket vagy egy egyedi exploit szkript rendezetlen kimenetét.

A külső AI-eszközökből érkező eredmények a Model Context Protocolon, vagyis MCP-n keresztül importálhatók a Wiz Security Graphba. A rendszer egységesíti a különböző formátumú adatokat, kiszűri a duplikátumokat, és a megfelelő felhőerőforráshoz vagy kódtárhoz rendeli a megállapításokat. A Wiz szerint ezután az eredmények állapotkövetéssel és előzményekkel együtt jelennek meg.

Ha egy megállapításból Issue lesz a Wizben, a Green Agent azonosíthatja a felelős fejlesztőt vagy csapatot, javítási útmutatót, pull requesthez használható módosításokat vagy kódrészleteket készíthet, valamint Slack, Jira, ServiceNow és GitHub integrációkon keresztül indíthat további munkafolyamatokat. A Wiz dokumentációja bejelentkezéssel érhető el, a vállalat pedig élő bemutatót is kínál.