包和漏洞

包是执行操作的软件模块，当这些操作被编译在一起时，就构成了一个应用程序。虽然构建应用程序的目的很多，但大多数应用程序依赖于熟悉的功能，如身份验证或压缩。因此，开发人员通过编写自己的包(第一方代码)和合并现有包(第三方代码)来处理这些常规操作来构建应用程序是一种常见的做法。

可用的api

您还可以使用API来管理您的包。测试api在这里．

包的好处

这些现有的包允许更快的应用程序开发和访问应用程序开发人员很少想要重写的高度专业化操作，但它们带来了风险。这是因为它们是由您组织之外的人或个人社区(开放源代码)编写和维护的，因此不可能知道包的开发是否考虑到了安全性。由于许多第三方包都是免费的，攻击者可以访问它们，并发现利用它们的漏洞的机制。虽然利用第三方软件包可以帮助组织更快地进入市场，但它们也引入了应用层攻击向量。

包的风险

许多组织不强制要求他们的开发团队使用哪些第三方包，因此他们不知道在他们的应用程序中部署了哪些第三方包。此外，即使一个组织能够对这些软件包进行分类，将它们与国家漏洞数据库(NVD)中已知的漏洞列表进行比较也将涉及数小时的体力劳动。

tCell by Rapid7, in与Snyk合作，提供一种检测包含已知漏洞的第三方包的方法。

您将在本文中学到什么

了解tCell的包和漏洞特性
开始
评估数据并设置警报
了解我们与斯奈德的合作关系

是什么使tCell的包和漏洞特性不同?

因为tCell代理运行在应用程序内部，所以我们的代理可以访问应用程序的信息，包括应用程序利用的第三方包和开源包。在启动期间，tCell代理将包信息发送到tCell云。然后，tCell云与填充其中的威胁数据库进行通信与Snyk合作，以便将应用程序中报告的包与数据库中的任何已知漏洞进行匹配。这允许tCell在不进行手动检查的情况下提供应用程序包级别风险的全面视图。然后，客户可以将tCell配置为在检测到新包和脆弱包时发送警报。

与其他在构建期间进行第三方包分析的工具不同，我们的包和漏洞特性在运行时检查应用程序。因此，您可以确保应用程序加载了报告的所有包，从而进行更准确的分析。我们的软件包和漏洞特性提供了以下内容的可见性:

应用程序中的第三方包
每个第三方包的版本
可用于第三方软件包的较新的版本
存在于第三方包中的常见已知漏洞和暴露(cve)
使用同一包的不同版本的任何应用程序

包和漏洞是如何工作的?

tCell从应用程序中获取应用程序的包信息，并将其发送到tCell Cloud，这是Rapid7 Insight Platform的一部分。dota2必威联赛我们的云服务从许多地方获取各种威胁数据，包括我们在tCell的包和漏洞仪表板中提到的Snyk。

在你开始之前

此特性不适用于WSAs。我们目前支持Java、Python、Ruby和Node.js，只要其中一个利用了我们的Application Server Agent (ASA)工具。

开始

登录tCell。
选择您想要了解其包的更多信息的应用程序。
点击包和Vulns从左边的导航菜单。
在下一个页面中，您将看到在您的环境中运行的包的列表，以及一些高级细节，例如包首次和最后一次活动的日期和时间、最新版本、找到的版本，以及通过Snyk集成发现的任何漏洞。

在版本找到列中未知的状态

如果你看到未知的状态，这可能是因为包已经被修改过或者是私有的。tCell只能查找公开可用的包的版本。
点击最右边的蓝点(箭头)可以看到更详细的信息和漏洞卡。

我如何评估数据?

如果一个包有漏洞，您可以在详细视图中找到关于它的更多信息。卡片会告诉你漏洞类型，发布日期，CVE ID，严重程度、简要描述，以及可能受到相同漏洞影响的其他地方或应用程序的列表。使用Agents仪表板查看受特定漏洞影响的其他位置。

您可以比较在生产环境中运行的包和最新版本，以便确定是否需要升级。单击URL链接可以查看更多漏洞细节，例如CVSS分数、攻击类型影响环境，以及补救步骤(如果可用的话)。

每当tCell发现一个漏洞时，它会自动在Newsfeed在主页上。如果您不希望收到有关该包漏洞的通知，请单击忽略．

如何设置提醒?

您可以设置警报，以便在发现新的包漏洞时通知您。

在tCell控制台中，选择要为其设置警报的应用程序。
单击左侧导航菜单中的“设置”。
单击警报。
在Alerts部分中，单击+ Add以添加警报。
在下拉框中，选择“检测到新包漏洞”。
为您首选的警报机制勾选适当的框。
单击Save。

Snyk集成

我们的与Snyk合作允许我们在不需要手动审查的情况下，通过利用它们的全面来获得对风险的可见性漏洞数据库．如果您是Snyk的客户，您可以利用它们开源安全管理通过利用他们的CI/CD管道集成，通过将包更新到最新的、更容易受到攻击的版本，自动修补应用程序，从而在整个开发过程中加速修复第三方风险。为了了解更多,参观Snyk的网站。