Mais de 2.700
Clientes corporativos
A alternativa ao ActiveState que continua aplicando patches mesmo depois que o projeto original interrompe o desenvolvimento
A maioria dos pacotes de que seus desenvolvedores precisam já foi verificada e está disponível no SecureChain. Quando uma versão que você utiliza deixa de receber correções do desenvolvedor original, a TuxCare cria o patch e o disponibiliza de acordo com um SLA publicado. O prazo da ActiveState só começa a contar quando o desenvolvedor original lança uma correção.
Fale conosco
Veja quais dos seus pacotes estão cobertos por nós
Comparação entre os dois catálogos
| Destaque |
SecureChain
|
ActiveState |
|---|---|---|
| Modelo de catálogo | ✓Umcatálogo compartilhado de pacotes previamente verificados, recompilados a partir do código-fonte | ✓Umcatálogo exclusivo para cada cliente, extraído da biblioteca da ActiveState e recompilado a partir do código-fonte |
| Proveniência da SLSA | ✓Nível3 | ✓Nível3 |
| SBOM e VEX | ✓Incluído | ✓Incluído |
| SLA para correção de vulnerabilidades CVE | ✓Publicadopara todos os níveis de gravidade, e o prazo continua correndo independentemente de haver ou não uma correção na fase anterior | ⚠Previstopara 5, 10 e 30 dias úteis, a partir do momento em que houver uma correção na origem |
| Quem escreve a correção? | ✓No código-fonte original, correções e nossos próprios patches, na versão que você utiliza | ✗Dependente do upstream |
| Aplicação de patches em produtos em fim de vida (EOL) | ✓Continuacom o Suporte de Ciclo de Vida Ilimitado, nas mesmas versões que você utiliza | ⚠A coberturatermina ao final da vida útil; a partir daí, é necessário um contrato personalizado |
| SLA para correção de EOL | ✓Sim, medido a partir da divulgação do CVE | ✗Nenhumpublicado |
| Versões lançadas sem aviso prévio | ✓Correção feitacom base em um SLA publicado; não é necessário anunciar o fim da vida útil (EOL) | ✗Nenhumpublicado |
| Proteção contra malware | ✓O código-fonteé inspecionado no momento da recepção para detectar comportamentos maliciosos ocultos e padrões suspeitos, e não apenas assinaturas conhecidas | ⚠ Não há nenhummétodo publicado; não há informações sobre se o código-fonte é inspecionado |
| Pacotes sob demanda | ✓A maioriados pacotes já consta no catálogo; o que estiver faltando será adicionado sem custo adicional | ⚠O conteúdo do catálogoé selecionado de acordo com cada cliente, e cada componente que faltar implica em uma espera |
Os patches não devem ser interrompidos só porque o projeto original os interrompeu
Versões mais antigas raramente recebem um aviso de descontinuação. O projeto original simplesmente segue em frente. O SecureChain continua fornecendo correções para a versão que você utiliza, de acordo com um SLA publicado, para que uma dependência desatualizada não se transforme em um projeto de migração inesperado.
Solicite um orçamento
Três diferenças que você percebe na produção
Obtenha pacotes aprovados desde o primeiro dia
O SecureChain vem com milhares de pacotes por ecossistema já verificados, de modo que as dependências comuns já estão disponíveis antes mesmo de alguém enviar uma solicitação. Os catálogos da ActiveState são montados individualmente para cada cliente.
Continuar recebendo patches depois que o upstream for encerrado
Muitas bibliotecas de código aberto nunca anunciam o fim do ciclo de vida. Elas simplesmente param de disponibilizar correções. A SecureChain fica atenta a isso e continua lançando correções. A ActiveState oferece suporte a elas por meio de um contrato separado, caso você solicite.
Descubra o que ninguém percebeu ainda
Um histórico limpo no CVE não garante que um pacote seja seguro. O SecureChain analisa o código-fonte de cada pacote no momento da admissão em busca de malware oculto. A ActiveState não documenta como funcionam suas verificações de malware.
Temos viabilizado a aplicação de patches de nível empresarial em uma escala sem precedentes no
– e isso é só o começo
Mais de 14.000
Vulnerabilidades corrigidas
Mais de 420.000
Patches entregues
Mais de 70.000 pacotesselecionados
Mude sem precisar reconstruir seu pipeline
-
Mude do seu catálogo da ActiveState para as compilações da TuxCare das versões que você já utiliza, com uma configuração única por repositório.
-
Mantenha seus gerenciadores de pacotes e comandos de instalação. Cada pacote vem com proveniência SLSA Nível 3, uma SBOM e VEX.
Receba suas encomendas hoje mesmo e seus emblemas dentro do prazo
Envie os pacotes e as versões dos quais sua equipe depende. Vamos mostrar o que já está no catálogo e em que ponto a TuxCare assume quando o upstream para de oferecer suporte.
Solicite um orçamento
Perguntas frequentes
A ActiveState desenvolve ambientes de execução de linguagens de código aberto desde o final da década de 1990 e é mais conhecida por Python, Perl e Tcl. Seu “Catálogo Curado” é um repositório privado de componentes extraídos de sua biblioteca, compilados a partir do código-fonte em uma infraestrutura de Nível 3 da SLSA, com SBOMs assinados e proveniência comprovada. Seus SLAs de correção anunciados entram em vigor assim que uma correção do desenvolvedor original estiver disponível.
O SecureChain oferece, desde o início, um catálogo compartilhado de pacotes previamente avaliados, de modo que a maior parte do que você precisa já está disponível desde o primeiro dia. Quando uma vulnerabilidade CVE é identificada em uma versão que você utiliza e o desenvolvedor original não disponibiliza uma correção, a TuxCare cria uma e a disponibiliza de acordo com um SLA publicado. Além disso, o código-fonte de cada pacote é inspecionado quanto a comportamentos maliciosos antes de entrar no catálogo.
Normalmente, não. A maioria dos pacotes já está no catálogo do SecureChain. Qualquer item que esteja faltando é adicionado sem custo adicional e recebe o mesmo suporte que todos os demais.
A SecureChain continua fornecendo correções de acordo com um SLA publicado, primeiro no âmbito do SecureChain e, posteriormente, no âmbito do Suporte de Ciclo de Vida Ilimitado, enquanto você utilizar essa versão. Isso inclui bibliotecas que descontinuam versões mais antigas sem avisar.
Sim. Quando o projeto original disponibiliza uma correção, o SecureChain a utiliza. Quando o projeto original não for suficiente, os engenheiros da TuxCare desenvolvem a correção e a adaptam para a versão exata que você utiliza.
O SecureChain inspeciona a origem de cada pacote no momento da recepção em busca de padrões de código suspeitos, riscos na cadeia de suprimentos — como ganchos de instalação e cargas úteis ofuscadas — e malware conhecido. As verificações documentadas pela ActiveState comparam os componentes com CVEs conhecidos e pacotes maliciosos conhecidos.
Cada pacote do SecureChain é fornecido com proveniência SLSA Nível 3, uma SBOM e dados VEX — o mesmo conjunto de evidências exigido pelos auditores.
Sim. Configure seu gerenciador de repositórios ou gerenciador de pacotes para usar o SecureChain em vez do catálogo da ActiveState e, em seguida, verifique novamente seus atestados de proveniência. Suas compilações e fluxos de trabalho permanecem os mesmos.
Sim. O SecureChain é compatível com o JFrog Artifactory, o Sonatype Nexus e o GitHub Packages; além disso, seu gerenciador de pacotes pode apontar diretamente para ele.
A TuxCare vem há 15 anos desenvolvendo patches para softwares de código aberto, muitos deles muito tempo depois do término do suporte do desenvolvedor original. O SecureChain traz essa engenharia para uma etapa mais inicial da cadeia de suprimentos. Sua análise de malware conta com o Imunify, nossa organização irmã, que opera uma das maiores plataformas de detecção de malware do lado do servidor no setor de hospedagem.