Des alertes que vous pouvez vérifier : OSV, KEV, EPSS
LibTracker croise des sources publiques pour répondre à trois questions sur chaque dépendance de vos projets : a-t-elle des failles connues, l'une d'elles est-elle activement exploitée, et quelle est la probabilité qu'elle le soit bientôt ?
Quatre sources publiques, croisées pour chaque dépendance
Failles connues
OSV.dev
La base ouverte de vulnérabilités open source, qui agrège notamment les GitHub Security Advisories, PyPA, RustSec et la base de vulnérabilités Go. Toutes les dépendances suivies y sont vérifiées toutes les 15 minutes.
Voir la sourceFailles activement exploitées
Catalogue KEV de la CISA
La liste tenue par l'agence américaine de cybersécurité (CISA) des vulnérabilités dont l'exploitation réelle est avérée.
Voir la sourceFailles exploitées, vue européenne
EUVD de l'ENISA
La base européenne de vulnérabilités de l'ENISA, qui consolide le catalogue KEV de la CISA et celui de l'Union européenne. C'est par elle que LibTracker récupère ces deux catalogues.
Voir la sourceProbabilité d'exploitation
EPSS de FIRST
Un modèle qui estime la probabilité qu'une CVE publiée soit exploitée dans les 30 jours, mis à jour chaque jour par le FIRST.
Voir la sourceLes trois signaux, en clair
Une CVE est l'identifiant public d'une vulnérabilité. Le score CVSS mesure sa gravité théorique, de faible à critique.
Known Exploited Vulnerabilities : la faille est déjà exploitée par des attaquants. C'est la priorité absolue, quel que soit son score CVSS.
Exploit Prediction Scoring System : la probabilité, en pourcentage, que la faille soit exploitée dans les 30 prochains jours. LibTracker signale les failles au-dessus de 70 %.
Comment une alerte arrive jusqu'à vous
- 1
Vos fichiers de dépendances
Vous envoyez vos lockfiles et manifestes depuis l'application, l'API ou votre CI. LibTracker ne lit jamais votre code source.
- 2
Vérification continue
Toutes les dépendances suivies sont comparées à OSV.dev toutes les 15 minutes. Le statut KEV et le score EPSS de chaque faille sont rafraîchis à part.
- 3
Alerte en moins d'une heure
Une nouvelle faille sur l'une de vos dépendances vous est envoyée sur Slack, Discord ou par e-mail selon votre offre, avec sa gravité. Les failles qui entrent dans un catalogue KEV ou dépassent 70 % d'EPSS sont signalées dans l'application (statut rafraîchi toutes les 6 heures).