Aller au contenu

Notes de version ASPM 2025 🚀🚀

Notes de version ASPM de Boost Security pour 2025, de la plus récente à la plus ancienne.

2025-12-05

Remédiation et gouvernance alimentées par l'IA

  • Correctifs IA contrôlés par politique dans les pull requests

    Boost peut désormais générer automatiquement des suggestions de remédiation alimentées par l'IA sous forme de commentaires directement dans les PR pour les résultats SAST, IaC et Secrets. Ce comportement est régi par le moteur de politique via l'action « Générer une remédiation IA ».

Contrôle d'accès et gestion des actifs

  • Rôles granulaires des clés API

    Les utilisateurs peuvent désormais créer des clés API limitées à des rôles spécifiques — Utilisateur (lecture et écriture) ou Lecteur (lecture seule) — garantissant que les intégrations fonctionnent avec un accès de moindre privilège.

  • Groupes d'actifs pour la structure organisationnelle

    Organisez les dépôts et les actifs au niveau de l'organisation en groupes gérables. Cela fournit la base structurelle pour de futures politiques d'accès basées sur les groupes et une meilleure visibilité entre les équipes.

Infrastructure cloud et plateforme

  • Intégration racine ECR pour la découverte multi-compte

    Boost prend désormais en charge l'intégration ECR au niveau racine, permettant la découverte et la surveillance des images de conteneurs à travers tous les comptes AWS depuis un seul point d'intégration, réduisant la charge de configuration pour les grands environnements.

  • Améliorations de la plateforme et de l'interface

    • Délais d'expiration de scan de PR plus intelligents : les délais d'expiration tiennent désormais compte du temps de clonage du dépôt, évitant les faux échecs sur les très grandes bases de code.
    • Historique des actifs archivés : les analyses historiques des actifs archivés restent visibles dans l'historique d'analyse, marquées d'un indicateur « archivé » pour préserver les pistes d'audit.
    • État de recherche SBOM : les filtres et états de recherche sont désormais préservés lors du changement de vue, avec des liens dynamiques entre les listes de dépôts et de paquets.
    • Prise en charge du webhook MS Teams : compatibilité mise à jour pour le nouveau format d'URL de webhook Microsoft Teams afin de garantir des notifications ininterrompues.

2025-11-18

Capacités avancées de remédiation par l'IA

  • Boost a introduit des améliorations significatives à la sécurité, à la sensibilisation au contexte et à l'intégration des flux de travail de son moteur de remédiation IA.

    • Rédaction préalable des secrets

      Pour appliquer strictement la confidentialité des données, Boost effectue désormais une analyse locale GitLeaks sur les extraits de code avant leur envoi au fournisseur d'IA. Les secrets détectés sont automatiquement masqués (par ex., ******), garantissant que les identifiants ne sont jamais exposés au modèle de langage (LLM).

    • Correctifs sensibles au contexte via les directives du dépôt

      Les agents IA consomment désormais une documentation spécifique au projet (comme cloud.md ou gemini.md) pour adapter les suggestions de remédiation. Cela permet à l'IA de respecter les décisions architecturales, comme l'application de modèles ORM spécifiques (par ex., SQLAlchemy) plutôt que du SQL brut.

    • Détection et suppression des faux positifs

      Le moteur IA peut désormais identifier les faux positifs potentiels lors de l'analyse et suggérera une action de suppression « no boost », réduisant le bruit pour les développeurs.

    • Remédiation IA dans Jira (aperçu)

      Les utilisateurs peuvent désormais déclencher les détails de la remédiation IA directement lors de la création de tickets Jira, remplissant le ticket avec une logique de correction actionnable. Remarque : cette fonctionnalité est actuellement activée via un indicateur de fonctionnalité.

Prise en charge du compte racine Google Artifact Registry (GAR)

  • Analyse multi-projets via compte de service

    Boost prend désormais en charge l'intégration du compte racine GAR, permettant à un seul compte de service Google de lister et d'analyser simultanément plusieurs projets.

Améliorations de la plateforme et de l'interface

  • Gestion des licences et des composants IA

    Un nouvel onglet dédié dans l'interface de politique est disponible pour gérer les licences de logiciels open source (OSS) et les composants IA. Cette interface simplifie le processus d'autorisation ou de refus de licences et de modèles IA spécifiques à travers l'organisation.

  • Mises à jour du webhook Microsoft Teams

    Les utilisateurs peuvent désormais mettre à jour les URL de webhook pour les intégrations Microsoft Teams existantes directement dans l'interface, éliminant le besoin de recréer l'intégration lorsque les URL changent.

  • Synchronisation de l'application GitHub

    Nous avons amélioré la logique de synchronisation entre le tableau de bord Boost et GitHub. La suppression de l'application Boost dans le tableau de bord synchronise désormais correctement le statut avec GitHub (et vice versa), garantissant des états d'intégration précis.

2025-10-28

Localisation de la documentation

Catégorie de politique d'identifiant de règle original

  • Boost permet désormais l'affichage de l'identifiant de règle original pour chaque résultat, garantissant que tous les problèmes connus sont suivis et traités.

2025-09-17 et 2025-10-07

Améliorations IA pour le SDLC sécurisé

  • Boost fournit désormais une suite de capacités alimentées par l'IA conçues pour détecter et corriger les risques de sécurité plus tôt dans le cycle de vie du développement, sans envoyer de code en dehors de votre environnement ni introduire de modèles IA non approuvés. Avec la prise en charge supplémentaire du Protocole de contexte de modèle (MCP), Boost fournit désormais ce qui suit :

    • Corriger avant que le code ne soit écrit

      Boost peut désormais valider et améliorer le code au moment de sa génération lors de l'utilisation d'outils de codage agentiques. Le code potentiellement risqué est identifié et corrigé avant même d'apparaître dans l'IDE du développeur, garantissant qu'un code plus sûr est produit dès le départ.

    • Corriger avant que le code ne soit commité

      Pendant le développement, Boost détecte automatiquement les nouveaux risques introduits avant la fusion. Les développeurs reçoivent une suggestion de remédiation en ligne directement dans leur système de contrôle de code source, avec un correctif en un clic pour appliquer le changement recommandé.

    • Corriger les risques hérités

      Un nouveau serveur MCP permet aux développeurs d'interroger Boost directement depuis leur agent de codage en langage naturel. Les développeurs peuvent demander leurs problèmes les plus risqués et recevoir des conseils de remédiation directement dans leur IDE, simplifiant le processus de traitement de la dette technique existante.

Ces capacités élargissent la couverture de sécurité de Boost tout en maintenant des contrôles stricts de protection des données. Le code reste entièrement dans le périmètre de l'utilisateur et n'est jamais transmis à Boost ou à des services externes.

2025-08-25

Inventaire de la chaîne d'approvisionnement

  • Boost inclut désormais les images de conteneur de base dans l'Inventaire de la chaîne d'approvisionnement. Cette fonctionnalité permet aux utilisateurs d'examiner et de gérer efficacement les images de base utilisées dans leurs Dockerfiles grâce à une analyse rapide et intégrée. Cette visibilité renforcée renforce la sécurité de la chaîne d'approvisionnement en fournissant des informations complètes sur les dépendances des conteneurs, intégrées de manière transparente dans la couverture existante de la chaîne d'approvisionnement de Boost Security.

Filtres des résultats

  • Pour soutenir la portée élargie des capacités d'analyse de Boost à travers diverses technologies de détection et types de risques, nous avons repensé l'interface des filtres de résultats. La conception mise à jour introduit une interface plus propre et plus intuitive avec un regroupement naturel des catégories de filtres. Cela permet aux utilisateurs de naviguer sans effort dans des ensembles de données complexes, en identifiant rapidement les informations critiques et en priorisant les informations actionnables.

2025-08-06

Ce sprint s'est concentré sur l'amélioration de l'expérience utilisateur en introduisant plusieurs améliorations de qualité de vie à travers l'application. Ces mises à jour rationalisent les flux de travail, améliorent la convivialité et renforcent la clarté tant pour les administrateurs que pour les utilisateurs finaux. Voici une répartition détaillée des nouvelles fonctionnalités, améliorations et corrections incluses dans cette version.

Recherche par étiquette d'actif dans les filtres

  • Les utilisateurs peuvent désormais rechercher des actifs à l'aide d'étiquettes d'actif dans la catégorie de filtre Rechercher, facilitant la localisation rapide de ressources spécifiques. Cela simplifie la gestion des actifs et améliore l'efficacité des flux de travail impliquant des recherches d'actifs. Cette fonctionnalité n'est actuellement disponible que sur les pages Résultats et Gestion des actifs.

Améliorations de l'intégration des utilisateurs

  • Les administrateurs peuvent désormais copier un lien d'invitation unique pour chaque utilisateur invité directement depuis la page Utilisateurs. Cette amélioration élimine les frictions causées par les problèmes de livraison d'e-mails (par ex., filtres anti-spam) en permettant le partage manuel des liens d'invitation. Le lien copié peut être utilisé par l'utilisateur invité pour rejoindre l'organisation sur Boost Security, même s'il n'a pas reçu l'e-mail original.

    Le lien devient disponible lorsque le statut d'un utilisateur est marqué En attente de confirmation, en plus des options existantes pour supprimer, renvoyer l'invitation ou changer son rôle.

Gestion des comptes de service SSO sans e-mail

  • Les administrateurs peuvent désormais gérer les comptes de service d'authentification unique (SSO) sans nécessiter d'adresse e-mail, offrant une plus grande flexibilité pour les configurations de comptes de service.

    Impact : rationalise la configuration SSO pour les organisations utilisant des comptes de service non basés sur l'e-mail.

Mises à jour des jetons d'accès Jira pour les connexions actives

  • Les utilisateurs peuvent désormais mettre à jour les jetons d'accès Jira sans perturber les connexions actives, garantissant une intégration continue avec les flux de travail Jira.

Détails de l'organisation sur la page Gestion des actifs

  • La page Gestion des actifs affiche désormais les détails de l'organisation, fournissant un meilleur contexte pour la gestion des actifs dans les configurations multi-organisations. Cette mise à jour améliore la visibilité et la prise de décision pour les administrateurs gérant des actifs à travers les organisations.

Prise en charge des comptes de service EntraID pour ADO

  • Boost prend désormais en charge les comptes de service via EntraID pour les intégrations Azure DevOps (ADO), permettant une authentification transparente pour les processus automatisés.

Analyse de masse optionnelle pour ZTP

  • Les utilisateurs peuvent désormais refuser de déclencher l'analyse de masse lors de l'activation de l'Orchestration Zero Touch (ZTP) pour la première fois, offrant plus de contrôle sur la configuration initiale. Cette mise à jour évite les analyses gourmandes en ressources non intentionnelles, améliorant la flexibilité de configuration pour les utilisateurs.

Gestion et explications des erreurs améliorées

  • Les messages d'erreur à travers l'application ont été affinés pour fournir des explications plus claires et plus actionnables.

    Impact : réduit la confusion et aide les utilisateurs à résoudre les problèmes plus efficacement.

Visibilité des branches dans les intégrations

  • Toutes les intégrations de billetterie, de webhook et de chat affichent désormais la branche spécifique où une violation a été détectée dans les configurations multi-branches. Cette mise à jour fournit un contexte plus clair pour les violations, permettant une résolution plus rapide dans des environnements complexes.

Recherche améliorée des règles de scanner de politique

  • La fonctionnalité de recherche des règles de scanner de politique a été améliorée pour fournir un filtrage plus précis, permettant aux utilisateurs de trouver rapidement les règles pertinentes. Cela permet de gagner du temps et d'améliorer la convivialité lors de la gestion ou du dépannage des règles de politique.

2025-07-04

Étiquetage personnalisé des actifs

  • Nous sommes ravis d'introduire l'Étiquetage personnalisé des actifs, une fonctionnalité très demandée qui permet aux utilisateurs de définir et de gérer leurs propres étiquettes d'actif directement dans Boost. Cela va au-delà des attributs par défaut ingérés depuis votre système de gestion de code source, vous donnant une flexibilité totale pour adapter les métadonnées d'actif à vos besoins spécifiques.

    Cette nouvelle fonctionnalité a été conçue avec l'évolutivité à l'esprit, prenant en charge tout, des petites équipes aux grands environnements d'entreprise. De plus, nous avons intégré le filtrage par étiquette personnalisée dans toutes les vues de la plateforme, facilitant plus que jamais l'organisation, la recherche et la gestion des actifs.

    Cette fonctionnalité a été construite en réponse directe aux retours des utilisateurs. Merci de nous aider à façonner l'avenir de Boost !

Prise en charge multi-branches

  • Nous avons étendu les capacités de Boost pour prendre en charge la surveillance multi-branches, permettant aux équipes d'analyser, de suivre et de gérer plusieurs branches de code au sein d'un seul dépôt.

    Cette amélioration va au-delà de la couverture des pull requests et inclut désormais des analyses de référence complètes, une billetterie automatisée, des rapports, etc., sur toutes les branches définies. Vous pouvez désormais configurer des flux de travail spécifiques à une branche directement depuis l'interface Boost, prenant en charge les équipes qui maintiennent des environnements de développement, de test et de production distincts, ainsi que celles gérant simultanément plusieurs versions de la même application.

    Plus de compromis entre dev et prod, ou v1.1 et v2.0 - Si la branche existe, Boost peut l'analyser.

2025-06-12

Rapports de posture d'application

  • Nous avons lancé une toute nouvelle page Rapports conçue pour aider les utilisateurs à mieux comprendre, suivre et faire évoluer leurs programmes AppSec. Points forts :
    • Une vue unifiée de l'échelle des actifs et de la couverture d'analyse de sécurité dans le temps.
    • La possibilité d'identifier rapidement les zones de préoccupation au sein de votre posture de sécurité.
    • Des informations approfondies sur des types de couverture spécifiques et des aperçus de vos secrets les plus fréquemment exposés, des paquets et licences les plus risqués, ou des vulnérabilités statiques les plus fréquemment codées.
    • Un support de filtrage complet à travers les périodes, les portées d'actifs et les technologies d'analyse.

Améliorations SBOM

  • Les vues et exports de nomenclature logicielle (SBOM) ont été améliorés pour encore plus de clarté et de contexte. Nouveautés :
    • Les listes de vulnérabilités incluent désormais les noms de paquets en ligne avec chaque problème signalé.
    • Les fichiers d'export SBOM contiennent désormais des détails du dépôt source pour une meilleure traçabilité.
    • Ajout du support d'enrichissement pour les paquets Ruby, permettant des informations plus approfondies sur les dépendances basées sur les gems.

Archivage des actifs

  • De nombreux utilisateurs ont une visibilité sur de nombreux dépôts qui ne sont plus pertinents, tels que des projets personnels de développeurs internes, des services obsolètes, ou des applications de preuve de concept archivées. Pour vous aider à concentrer vos efforts AppSec, Boost prend désormais en charge l'Archivage des actifs, vous permettant de :

    • Archiver manuellement les dépôts qui ne devraient pas compter dans les rapports de posture actifs.
    • Respecter automatiquement le statut d'archivage du contrôle de code source, garantissant que les dépôts inactifs sont exclus des métriques de couverture de sécurité.

    Cela offre à votre équipe une vue plus propre et plus précise de votre surface d'application réelle.

2025-05-28

Téléchargement direct de fichiers SBOM

  • Vous pouvez désormais télécharger des fichiers SBOM CycloneDX autonomes directement vers Boost Security sans nécessiter de pipeline de build ou d'accès au code source. Cette fonctionnalité est particulièrement utile pour les équipes travaillant dans des environnements comme la diligence raisonnable de Fusions & Acquisitions, où le code source peut être indisponible. Téléchargez simplement un SBOM CycloneDX, et Boost l'enrichira automatiquement avec :

    • Des données de vulnérabilités connues (CVE, EPSS, CVSS)
    • Des informations sur les logiciels malveillants
    • Des métriques OpenSSF Scorecard
    • La détection de licences open source
    • Une surveillance nocturne des menaces émergentes, y compris les vulnérabilités zero-day

    Cela garantit que vos SBOM reçoivent le même niveau d'analyse et de protection que ceux générés via des pipelines intégrés.

Journalisation d'audit et rapports d'activité

  • Nous avons introduit une nouvelle page Audit permettant aux administrateurs de suivre, filtrer et rapporter l'activité des utilisateurs au sein de la plateforme. Obtenez une visibilité sur :

    • Qui a modifié quelles politiques de sécurité, et quand
    • Quels scanners ont été ajoutés ou supprimés — et par qui
    • Les actions opérationnelles clés à travers votre instance

    Cette fonctionnalité renforce la responsabilité et la conformité au sein de vos équipes.

Filtres d'historique d'analyse

  • Depuis le premier jour, Boost a permis aux équipes de définir des politiques de sécurité qui notifient proactivement les développeurs des faiblesses potentielles, que ce soit via des commentaires de pull request ou des vérifications d'échec de build — avant que le code ne soit fusionné dans la branche principale. Cependant, la visibilité sur la fréquence et l'emplacement de déclenchement de ces politiques a été limitée.

Avec nos nouveaux filtres d'historique d'analyse, il est désormais beaucoup plus facile de suivre quand et où l'application de la politique se produit, vous donnant un aperçu plus approfondi de votre posture de sécurité tout au long du cycle de vie du développement. Avec ces filtres, vous pouvez rapidement afficher :

  • Toutes les analyses qui ont déclenché des vérifications d'échec
  • Les analyses qui ont signalé des violations de politique dans les pull requests

Cela fournit des informations plus claires sur la couverture des politiques et les boucles de retour des développeurs dans le temps.

Améliorations de performance

  • Vous gérez des milliers, voire des dizaines de milliers de dépôts ? Vous constaterez une amélioration majeure des performances. Nos optimisations backend ont permis d'obtenir jusqu'à 10 fois d'amélioration des temps de chargement sur la page de couverture des scanners. À mesure que votre base de code grandit, Boost évolue avec vous - garantissant une expérience plus fluide et plus rapide pour les opérations à l'échelle de l'entreprise.

2025-04-29

Détection de fin de vie

  • Les scanners SBOM et SCA de Boost Security ont été mis à jour pour prendre désormais en charge la détection et l'enrichissement des paquets en fin de vie (EoL). Vous pouvez :

    • Filtrer l'ensemble de votre SBOM pour identifier les paquets en fin de vie.

    • Recevoir des notifications proactives lorsque des paquets en fin de vie sont détectés dans votre base de code ou introduits via des pull requests.

Améliorations de l'intégration SCM

  • GitHub

    Boost a ajouté la prise en charge et la détection des RuleSets pour les paramètres de protection des branches. Vous pouvez désormais identifier si vos dépôts manquent d'une configuration sécurisée à l'aide des RuleSets et alerter votre équipe chaque fois que votre posture de sécurité s'affaiblit en fonction des changements de RuleSet.

  • GitLab

    L'intégration GitLab prend désormais en charge les jetons d'accès de groupe et de compte de service en plus des jetons d'accès personnels

  • Azure DevOps

    La connexion à ADO prend désormais en charge Microsoft Entra ID en plus des jetons d'accès personnels.

Améliorations de politique

  • Notre moteur de politique incroyablement puissant et flexible a été mis à jour avec des améliorations supplémentaires de convivialité, permettant aux utilisateurs de réorganiser rapidement leurs règles via l'interface pour créer une personnalisation encore plus rapide et plus simple en manipulant l'ordre d'exécution de vos règles.

Refonte des détails des résultats

  • Enfin dans ce sprint, nous avons déployé un panneau de détails des résultats repensé pour une expérience utilisateur améliorée. Les principales améliorations incluent :

    • Une disposition plus propre et plus intuitive.
    • Une navigation plus facile vers les informations critiques.
    • Un accès plus rapide aux actions et aux étapes de remédiation.

2025-04-02

Refonte des filtres

Le filtrage au sein de Boost vient de recevoir une mise à niveau majeure !

Nous avons entièrement repensé les filtres sur toutes les pages concernées pour améliorer la convivialité, réduire la complexité et maximiser l'espace d'écran. Cette mise à jour garantit que vous pouvez trouver les données dont vous avez besoin plus rapidement et agir plus facilement.

Points forts :

  • Disposition de filtre plus propre et plus intuitive
  • Convivialité améliorée sur toutes les pages filtrées
  • Espace d'écran optimisé pour un flux de travail amélioré

Améliorations de performance

Travailler avec de grands ensembles de données est désormais beaucoup plus rapide.

Notre équipe backend a optimisé les algorithmes de filtrage et de recherche pour les cas d'utilisation à haut volume, entraînant une amélioration de 10 fois des temps de chargement lors de la gestion d'ensembles de données à six chiffres sur la page Résultats.

Idéal pour les équipes gérant :

  • Des dizaines de milliers de violations
  • Des centaines de milliers de résultats

Votre flux de travail de triage vient d'être suralimenté.

Prise en charge de l'accessibilité en temps réel

Nous avons étendu nos fonctionnalités d'accessibilité !

En nous appuyant sur les capacités de Code Reachability de l'année dernière (alimentées par le scanner OSV), nous prenons désormais en charge l'Accessibilité en temps réel via notre intégration Dynatrace.

Vous pouvez désormais : - Identifier quelles vulnérabilités Dynatrace a confirmé avoir une accessibilité en temps réel - Créer des politiques autour des vulnérabilités chargées en temps réel - Prioriser les risques plus efficacement

Cela donne à vos politiques de sécurité une précision encore plus grande.

Autres améliorations

  • Clarté des règles de politique : nous avons amélioré le langage et la cohérence dans nos définitions de règles de politique, facilitant la compréhension et l'utilisation efficace du moteur de politique pour les nouveaux utilisateurs.
  • Intégration GitLab : prend désormais en charge les jetons d'accès de compte de service avec la même fonctionnalité que les jetons d'accès personnels.
  • Intégration Azure DevOps : prend désormais en charge les connexions Microsoft Entra ID avec la même fonctionnalité que les jetons d'accès personnels.

2025-02-21

Code au Cloud - Intégration avec Dynatrace

  • Dynatrace est un leader de l'observabilité infrastructurelle et runtime, et en tant qu'utilisateur de Boost vous pouvez désormais bénéficier de tout ce que Dynatrace a à offrir pour enrichir nos détections de risques liées au code source, au CI/CD et à la chaîne d'approvisionnement ! Fournissez à vos développeurs un contexte d'exécution indiquant quelles vulnérabilités sont en production ou disposent de routes publiques depuis internet. Fournissez à votre équipe d'infrastructure un contexte de code indiquant quel dépôt ou membres de l'équipe de développement sont responsables du code exécuté sur un service spécifique !

Couverture par Défaut Améliorée

  • Ajoutez SAST à la liste d'auto-provisionnement ! Avec Boost, vous pouvez désormais détecter automatiquement les nouveaux actifs et provisionner l'analyse statique sur le code nouvellement détecté sans intervention humaine. Cela rejoint les capacités de provisionnement automatisé existantes pour la Supply Chain, les Secrets, le SBOM et le SCA !

Détection Étendue des Risques Critiques

  • Notre capacité à identifier les risques critiques s'est encore étendue, cette fois pour signaler les dépôts qui contiennent des PII et qui ne disposent pas de paramètres de protection de branche.

2025-01-31

Détections et Politiques d'Exécution Plus Approfondies

  • Boost enrichira désormais les services et les findings avec la détection d'accès utilisateur Root et de conteneurs privilégiés. Par exemple, vous pouvez maintenant avoir des politiques qui alertent lors de la détection de certaines vulnérabilités existant dans des services disposant d'un accès Root.

Informations de Découverte d'Actifs Améliorées

  • Avec de multiples sources potentielles de détection d'actifs (Gestion de Contrôle de Source, Scanner Tiers, etc.), il peut devenir difficile de déterminer d'où provient un actif dans Boost. Nous avons amélioré la page Asset Management avec des métadonnées supplémentaires pour vous aider à suivre les origines de vos actifs.

Exporter le Rapport de Conformité CIS Supply Chain

  • Nous continuons à améliorer notre fonctionnalité de Conformité avec l'export de fichiers. Filtrez votre portefeuille ou vos règles de conformité jusqu'au périmètre exact sur lequel vous souhaitez rapporter et créez des exports de données CSV pour des rapports en aval ou de l'archivage.