デュアルティアハイブリッドアーキテクチャ
現代のエンジニアリング組織は両方を要求します エアギャップ環境での依存関係のない実行 そして 新たに公開されたゼロデイエクスプロイトに対する即時保護。 BlackShield は、次の 2 層アーキテクチャを通じてこの緊張を解決します。
エアギャップと切断された安全性
すべてのスキャナ バイナリとアプライアンス コンテナには、コンパイルされた脆弱性データベースと攻撃シグネチャが同梱されています。切断されたビルド環境、分離された VPC、およびローカル CLI の実行は、外部呼び出しや認証情報なしで実行されます。
オンザフライのゼロデイ取得
BlackShield コントロール プレーンに対して認証されると、スキャナーとアプライアンスは以下を使用して条件付き HTTP リクエストを発行します。 If-None-Match ヘッダー。更新された定義はディスク上にアトミックにキャッシュされ、コンテナーを再起動せずにホットリロードされます。
パイプラインと VM スキャナーの統合
BlackShield Pipeline Scanner は、SCA および SBOM 分析中にライブ アドバイザリをチェックします。新しい CVE が存在する場合、それらは組み込みデータベースとシームレスにマージされます。
フェールセーフ キャッシュ保証
コントロール プレーンに到達できない場合、またはネットワーク タイムアウトが発生した場合、スキャナーはローカル ディスク キャッシュにフォールバックします。キャッシュが存在しない場合は、デフォルトで組み込みデータベースが使用されます。 ネットワーク障害によって実稼働ビルドが失敗することはありません。
アプリケーション WAF ホットリロード
BlackShield Application Appliance は、厳選された SQL インジェクション、XSS、SSRF、RCE、および SSTI 署名に対して HTTP トラフィックを継続的に評価します。バックグラウンドのポーリング ループでは次のようになります。
- 条件付きポーリング: 問題点
GET /api/v1/signatures/waf現在の ETag を使用します。 304 応答は最小限のネットワーク帯域幅を消費します。 - ゼロダウンタイムのホットリロード: 正規表現パターンはメモリ内でコンパイルされ、リーダー/ライター ロックの下でアトミックに交換されるため、接続の切断が防止されます。
- 統合されたポリシー サーフェス: 管理された攻撃シグネチャ、動的仮想パッチ、脅威インテリジェンス ブロックリスト インジケーターを統合された評価パイプラインに統合します。
配布フィードエンドポイント
| エンドポイント | 対象消費者 | キャッシュメカニズム |
|---|---|---|
| GET /api/v1/signatures/advisories | パイプラインおよび VM スキャナー | ETag、一致しない場合、max-age=300 |
| /api/v1/signatures/waf を取得します | アプリケーション WAF アプライアンス | ETag、一致しない場合、max-age=300 |
| GET /api/v1/signatures/status | 監視と遠隔測定 | ETag、一致しない場合、max-age=60 |