Integracja z Vanta
Połącz Vanta z Kit, żeby automatycznie przekazywać dane o podatnościach do dokumentacji SOC 2 i ISO 27001.
Co daje integracja
Jeśli prowadzisz program ujawniania podatności (VDP) i ubiegasz się o SOC 2 lub ISO 27001, audytor oczekuje dowodów, że podatności są rejestrowane, mają ustaloną kolejność obsługi według ważności i są usuwane w terminie SLA. Ręczne zbieranie tych dowodów oznacza eksportowanie arkuszy, robienie zrzutów ekranu zgłoszeń i uzgadnianie dat.
Integracja z Vanta automatyzuje przekazywanie tych danych. Po połączeniu Kit automatycznie przesyła do Vanta dane o podatnościach po triażu, które służą do dokumentowania zgodności. Poziom ważności i status usunięcia są synchronizowane na bieżąco, więc Vanta może śledzić SLA usunięcia podatności względem mechanizmów kontrolnych takich jak SOC 2 CC7.1 i ISO 27001 A.8.8, bez ręcznego przygotowywania eksportu.
Co jest potrzebne
- Aktywna subskrypcja Kit
- Konto Vanta z dostępem do Developer Console (uprawnienia do tworzenia integracji)
- Prywatna aplikacja w Vanta, z której skopiujesz dane wymagane przez Kit: Client ID, Client Secret i dwa Resource ID
Note
Integracja wysyła tylko podatności, które przeszły triaż z przypisanym poziomem ważności. Dopóki zespół aktywnie nie ocenia zgłoszeń, nie będzie nic do wysłania. Zobacz Triaż zgłoszeń.
Konfiguracja
1. Utwórz prywatną aplikację w Vanta
- W Vanta przejdź do Settings > Developer Console
- Kliknij Create
- Wybierz typ aplikacji Build Integrations i ustaw dystrybucję na Private
- Uzupełnij nazwę i opis aplikacji. Strona ustawień w Kit podpowiada nazwę z przyciskiem kopiowania
- Client ID generuje się automatycznie; skopiuj go
- Kliknij Generate client secret i skopiuj wygenerowaną wartość
Aplikacja potrzebuje uprawnień OAuth connectors.self:write-resource i connectors.self:read-resource. Przechowaj Client Secret w bezpiecznym miejscu. Wkleisz go do Kit podczas konfiguracji połączenia.
2. Utwórz dwa zasoby
Kit przesyła podatności do dwóch zasobów Vanta: jednego dla podatnych komponentów i jednego dla podatności endpointów API. Utwórz oba w swojej prywatnej aplikacji:
- Otwórz zakładkę Resources aplikacji i kliknij Add resource
- Utwórz jeden zasób z bazowym typem zasobu Vulnerable Component
- Kliknij Add resource jeszcze raz i utwórz drugi zasób z bazowym typem zasobu API Endpoint Vulnerability
- Zostaw Custom Properties puste w obu. Wbudowane schematy obejmują wszystkie dane wysyłane przez Kit
Po kliknięciu Create każdy zasób pojawia się w zakładce Resources z wygenerowanym Resource ID. Skopiuj oba ID dokładnie tak, jak są wyświetlane. Rozróżniają wielkość liter, a Kit potrzebuje wygenerowanego ID, nie nazwy zasobu, którą wpisano.
3. Połącz w Kit
Przejdź do VDP > Settings > Vanta. Strona prowadzi przez konfigurację w trzech krokach:
- Krok 1: Wklej Client ID i Client Secret. Kit weryfikuje je na żywo w Vanta, zanim przejdzie dalej.
- Krok 2: Wklej oba Resource ID. Kit weryfikuje każde z nich w Vanta i uruchamia pierwszą synchronizację.
- Krok 3: Ekran końcowy potwierdza połączenie i pokazuje wynik tej pierwszej synchronizacji.
Od tego momentu podatności po triażu trafiają do Vanta automatycznie.
Co jest synchronizowane i kiedy
Kit wysyła do Vanta podatności po triażu, czyli zgłoszenia, które zespół potwierdził i przypisał im poziom ważności. Zgłoszenia wciąż czekające na triaż nie są wysyłane, bo nie mają jeszcze poziomu ważności potrzebnego Vancie do śledzenia SLA usunięcia podatności.
| Zachowanie | Jak działa |
|---|---|
| Harmonogram synchronizacji | Podatności po triażu są automatycznie wysyłane do Vanta co godzinę |
| Poziom ważności | Poziom ważności każdej podatności jest wysyłany, żeby Vanta mogła śledzić SLA usunięcia podatności względem właściwego terminu |
| Synchronizacja przy zmianie statusu | Opcjonalny przełącznik. Gdy jest włączony, podatność jest wysyłana w momencie zmiany statusu, zamiast czekać na następne godzinne uruchomienie |
| Rozwiązanie | Gdy zamkniesz zgłoszenie w Kit, automatycznie znika z Vanta i jest zapisywane jako usunięte |
Nie trzeba nic ręcznie oznaczać w Vanta. Po triażu zgłoszenie pojawi się w Vanta. Gdy je zamkniesz, Vanta oznaczy podatność jako usuniętą. Godzinny harmonogram utrzymuje wszystko zsynchronizowane, nawet jeśli pojedyncza aktualizacja zostanie pominięta.
Co nie jest wysyłane
Kit celowo wysyła tylko minimalne metadane potrzebne Vancie do śledzenia podatności i jej usuwania.
Następujące dane nigdy nie są wysyłane do Vanta:
- Dane osobowe badaczy: pola profilu badacza, takie jak imię, adres e-mail i dane kontaktowe, pozostają w Kit
- Kroki odtworzenia: techniczny proof-of-concept i szczegóły exploita nie są udostępniane
- Treść zgłoszeń: pełny opis zgłoszenia i dyskusja pozostają w Kit
Important
Do Vanta trafiają m.in. tytuł, typ, endpoint i poziom ważności zgłoszenia oraz dane CVSS. Opis, kroki odtworzenia, wiadomości i pola profilu badacza nie są wysyłane. Przed synchronizacją sprawdź, czy tytuł lub endpoint nie zawierają informacji, których nie chcesz przekazywać.
Zarządzanie integracją
Wszystko poniżej znajduje się na stronie VDP > Settings > Vanta.
- Synchronizuj teraz (Sync now): Wysyła bieżące podatności po triażu do Vanta natychmiast, zamiast czekać na następne godzinne uruchomienie. Przydatne zaraz po połączeniu lub po sesji triażu.
- Synchronizacja przy zmianie statusu (Sync on status change): Przełącznik kontrolujący, czy aktualizacje są wysyłane w momencie zmiany statusu zgłoszenia. Zostaw włączony, żeby przekazywać aktualizacje bez czekania na kolejną synchronizację; wyłącz, jeśli wolisz stały godzinny rytm.
- Status synchronizacji i błędy (Sync status and errors): Strona ustawień pokazuje, kiedy ostatnio odbyła się synchronizacja, i wyświetla błędy. Zielona plakietka oznacza sprawne połączenie; plakietka błędu oznacza, że coś wymaga uwagi (patrz Rozwiązywanie problemów).
- Rozłącz (Disconnect): Zatrzymuje całą synchronizację i usuwa przechowywane dane dostępowe. Dane w Kit pozostają niezmienione; Kit przestaje wysyłać aktualizacje do Vanta.
Rozwiązywanie problemów
| Objaw | Przyczyna | Rozwiązanie |
|---|---|---|
| „Connection failed” przy weryfikacji danych dostępowych (krok 1) | Client ID lub Secret jest błędny albo dane dostępowe wygasły | Skopiuj ponownie obie wartości z prywatnej aplikacji w Developer Console Vanta i wklej je jeszcze raz |
| Błąd synchronizacji „Could not find resourceId” | Resource ID jest błędne lub niepełne | Otwórz zakładkę Resources prywatnej aplikacji w Developer Console Vanta i skopiuj ID dokładnie tak, jak jest wyświetlane. Rozróżnia wielkość liter, a Kit potrzebuje wygenerowanego ID, nie nazwy zasobu, którą wpisano |
| Połączenie przestaje działać po zmianie Client Secret w Vanta | Kit nadal używa poprzedniej wartości | Wprowadź dane dostępowe w Kit jeszcze raz (krok 1); już zsynchronizowane dane zostają zachowane |
| Połączenie pokazuje plakietkę błędu | Dane dostępowe zostały unieważnione lub wygasły w Vanta | Połącz ponownie z nowymi danymi dostępowymi; Kit wstrzymuje synchronizację, gdy uwierzytelnianie zawodzi |
| Nic nie pojawia się w Vanta | Brak podatności po triażu | Sprawdź, czy masz zgłoszenia po triażu z przypisanym poziomem ważności. Zgłoszenia bez triażu nigdy nie są wysyłane |
| Nic nie pojawia się w Vanta | Subskrypcja jest nieaktywna | Integracja wymaga aktywnej subskrypcji Kit; sprawdź Account > Billing |
| Zgłoszenia, które właśnie przeszło triaż, jeszcze nie ma w Vanta | Oczekiwanie na godzinną synchronizację | Kliknij Synchronizuj teraz albo włącz Synchronizację przy zmianie statusu dla natychmiastowych aktualizacji |
| Błędy synchronizacji na stronie ustawień | Ostatnie wysyłanie do Vanta nie powiodło się | Kliknij Synchronizuj teraz, żeby ponowić; jeśli problem się utrzymuje, przetestuj dane dostępowe na wypadek, gdyby wygasły |
Lista kontrolna
- Potwierdź, że subskrypcja Kit jest aktywna
- Utwórz prywatną aplikację w Vanta: Settings > Developer Console > Create, typ aplikacji Build Integrations, dystrybucja Private
- Skopiuj Client ID i kliknij Generate client secret
- W zakładce Resources aplikacji dodaj dwa zasoby: Vulnerable Component i API Endpoint Vulnerability
- Skopiuj oba wygenerowane Resource ID z zakładki Resources (rozróżniają wielkość liter)
- W VDP > Settings > Vanta wklej dane dostępowe (krok 1), potem oba Resource ID (krok 2) i sprawdź potwierdzenie połączenia (krok 3)
- (Opcjonalnie) Włącz Synchronizację przy zmianie statusu, żeby wysyłać aktualizacje po zmianach statusu
- Przeprowadź triaż zgłoszenia i przypisz mu poziom ważności, a następnie kliknij Synchronizuj teraz, żeby sprawdzić, czy pojawia się w Vanta
Co dalej
- Zobacz Triaż zgłoszeń: przypisz poziom ważności, żeby podatności kwalifikowały się do synchronizacji
- Zobacz Wskaźniki i eksporty: przygotuj eksporty do audytu jako uzupełnienie danych w Vanta
- Zobacz Integracja z PagerDuty: powiadamiaj dyżurnego, gdy przychodzą krytyczne zgłoszenia