Eine CVE erscheint um 03:00 Uhr.
Sie wissen längst, welche Fahrzeuge betroffen sind.
Kontinuierliches Schwachstellen-Monitoring für Fahrzeugflotten. Jede SBOM-Komponente wird gegen Live-CVE-Feeds abgeglichen, auf Ausnutzbarkeit bewertet und durch Ihr Risikomodell bis zu den exakt betroffenen Projekten und Fahrzeugen verfolgt — mit VEX-Triage, damit niemand Rauschen hinterherjagt.
SBOM- & Komponenten-
Aufnahme.
CycloneDX- und SPDX-Stücklisten landen zuerst im Objektspeicher und werden dann als echte Komponenten mit Versionen und Package-URLs in den Graph geparst. Hash-Dedup bedeutet: Eine unveränderte SBOM durchläuft die Pipeline nie erneut.
Kontinuierlicher
CVE-Abgleich.
Jede Komponente wird gegen Live-Datenbanken abgeglichen — NVD, OSV, GitHub, MITRE und CNVD — angereichert mit EPSS-, CISA-KEV- und ENISA-KEV-Signalen. Das Monitoring läuft kontinuierlich, sodass eine heute veröffentlichte CVE noch heute Nacht erkannt wird.
Die gezeigten CVE-Kennungen sind beispielhaft.
VEX und Risiko,
kein Datenstrom.
Jeder Fund wird nach Ausnutzungswahrscheinlichkeit und Prognose bewertet — stabil, eskalationswahrscheinlich, eskaliert — und dann ins Risikomodell verknüpft, sodass eine CVE zu einem Pfad durch die reale Architektur wird. Der VEX-Status wird ausgegeben, damit Abnehmer eine Entscheidung erhalten.
Eskalieren, melden,
neu berechnen.
Ein ausnutzbarer Fund eskaliert zu einem gemanagten Vorfall, der eine Risiko-Neuberechnung auslöst, sodass die Post-Production-Lage aktuell bleibt. Der Zulieferer-Workspace lässt Tier-1s Nachweise stromaufwärts teilen und die CVEs empfangen, die ihre Teile betreffen — siehe Betrieb.