Sicherheitsrichtlinie, als Code.
Legen Sie Ihr Sicherheitsniveau einmal fest, und jeder Scan, jedes Team und jede Pipeline hält sich daran.
policy.yamlOrganisationDurchgesetzt
- BlockierenKritische SAST-Findings
- BlockierenSQL-Injection auf einem geschützten Branch
- WarnenCVSS 7.0 und höher
- AusgenommenLegacy-Berichte, akzeptiertes Risiko
Einmal geschrieben. Bei jedem Merge durchgesetzt.
policy.yamlbei jedem Scan ausgewertet
name: Block Critical Vulnerabilitiesscope: ORGANIZATIONpriority: 50enabled: truerules: - name: Block Critical SAST Findings action: block criteria: - scanner_type eq SAST - severity eq CRITICALRegeln einmal festlegen, überall vererbt.
Die Baseline Ihrer Organisation gilt für jedes Team und jedes Projekt. Ein Projekt kann sie verschärfen, nie lockern.
AcmeOrganisation
Block Critical Vulnerabilitiesseverity eq CRITICAL → block- PaymentsTeamgeerbt
payments-apigeerbtcheckout-webgeerbt+ severity eq HIGH → blockstrenger, nie lockerer
- PlatformTeamgeerbt
infrageerbtdocs-sitegeerbt
Beginnen Sie mit einem Repository.
Verbinden Sie GitHub, GitLab, Bitbucket oder Azure DevOps, wählen Sie ein Repository, und der erste Scan startet.
Im Detail
Was eine Regel sagen kann
Regel schreiben. Merge blockieren. Ausnahme protokollieren.
10 Regeltypen, 8 Operatoren, UND / ODER-Logik. Vom reinen CVSS-Schwellenwert bis zu einem bestimmten CWE auf einem geschützten Branch.
policy.yamlOrganisationDurchgesetzt
- BlockierenKritische SAST-Findingsscanner_type eq SASTAND severity eq CRITICAL
- BlockierenSQL-Injection auf einem geschützten BranchCWE-89AND main
- WarnenCVSS 7.0 und höherCVSS 4.0
- AusgenommenLegacy-Berichte, akzeptiertes Risikolegacy/reports/**2026-12-31
10 Regeltypen, 8 Operatoren, UND / ODER-Logik. Vom reinen CVSS-Schwellenwert bis zu einem bestimmten CWE auf einem geschützten Branch.
Policy Management, kurz erklärt
Was ist Security Policy as Code?
Ihre Sicherheitsanforderungen liegen als versioniertes YAML direkt neben Ihrem Code. CybeDefend wertet die aktuelle Richtlinie bei jedem Scan aus, über SAST, SCA, Secrets, Container, IaC und CI/CD hinweg. So wandern die Regeln mit dem Repository mit.
Was ist der Unterschied zwischen Blockieren und Warnen?
Blockieren stoppt die Pipeline und erfasst den Verstoß. Warnen protokolliert ihn und lässt die Pipeline weiterlaufen. Das ist der sichere Weg, eine neue Regel einzuführen, bevor Sie sie durchsetzen.
Wie funktioniert die Hierarchie aus Organisation, Team und Projekt?
Richtlinien werden von oben nach unten vererbt. Die Organisation legt eine Baseline fest, die Teams und Projekte erben und nur strenger machen können. So wird eine unternehmensweite Vorgabe niemals stillschweigend außer Kraft gesetzt.
Verlangsamt die Richtlinienauswertung meine Pipeline?
Nein. Richtlinien werden asynchron mit einem konfigurierbaren Timeout ausgewertet, sodass Scans und Deployments nie auf das Gate warten.
Kann ich eine Ausnahme für eine Datei oder ein akzeptiertes Risiko machen?
Ja. Jede Richtlinie unterstützt gezielte Ausschlüsse per Glob-Muster mit optionalem Ablaufdatum, und Sie können ein Finding mit einer Begründung als akzeptiertes Risiko markieren. Beides hinterlässt einen Audit-Trail.