Architecture hybride à deux niveaux
Les organisations d'ingénierie modernes exigent à la fois exécution sans dépendance dans des environnements à espace vide et protection immédiate contre les exploits zero-day récemment publiés. BlackShield résout cette tension grâce à une architecture à deux niveaux :
Entrefer et sécurité déconnectée
Chaque binaire de scanner et conteneur d'appliance est livré avec des bases de données de vulnérabilités et des signatures d'attaque compilées. Les environnements de build déconnectés, les VPC isolés et les exécutions CLI locales s'exécutent sans appels ni informations d'identification externes.
Récupération à la volée Zero Day
Lorsqu'ils sont authentifiés auprès du plan de contrôle BlackShield, les scanners et les appareils émettent des requêtes HTTP conditionnelles à l'aide de If-None-Match en-têtes. Les définitions mises à jour sont mises en cache de manière atomique sur le disque et rechargées à chaud sans redémarrage du conteneur.
Intégration de pipelines et de scanners de machines virtuelles
Le BlackShield Pipeline Scanner vérifie les avis en direct lors de l'analyse SCA et SBOM. Si de nouveaux CVE existent, ils sont fusionnés de manière transparente avec la base de données intégrée :
Garantie de mise en cache sécurisée
Si le plan de contrôle est inaccessible ou rencontre des délais d'attente réseau, l'analyseur revient au cache disque local. Si aucun cache n'existe, la valeur par défaut est la base de données intégrée. Les pannes de réseau ne font jamais échouer une version de production.
Application WAF Rechargement à Chaud
BlackShield Application Appliance évalue en permanence le trafic HTTP par rapport aux signatures d'injection SQL, XSS, SSRF, RCE et SSTI. Dans les boucles d'interrogation en arrière-plan :
- Interrogation conditionnelle : Problèmes
GET /api/v1/signatures/wafavec l'ETag actuel. Une réponse 304 consomme une bande passante réseau minimale. - Rechargement à chaud sans temps d'arrêt : Les modèles Regex sont compilés en mémoire et échangés de manière atomique sous des verrous lecteur-écrivain, empêchant ainsi les connexions interrompues.
- Surface de stratégie unifiée : Combine les signatures d'attaque gérées, les correctifs virtuels dynamiques et les indicateurs de liste de blocage d'informations sur les menaces dans un pipeline d'évaluation unifié.
Points de terminaison du flux de distribution
| Point de terminaison | Consommateur cible | Mécanisme de mise en cache |
|---|---|---|
| OBTENIR /api/v1/signatures/avis | Scanners de pipelines et de machines virtuelles | ETag, If-None-Match, max-age=300 |
| OBTENIR /api/v1/signatures/waf | Application Application WAF | ETag, If-None-Match, max-age=300 |
| OBTENIR /api/v1/signatures/statut | Surveillance et télémétrie | ETag, If-None-Match, max-age=60 |