CVEngine

La valutazione della superficie di attacco esterna più avanzata che puoi ottenere gratuitamente.

cvENGINE scopre e mappa automaticamente i tuoi asset esposti su Internet, identifica ogni servizio e versione che trova e ti dice quali delle CVE attualmente sfruttate ti colpiscono davvero, per poi riprodurre ciò che può con verifiche sicure e in sola lettura. Gestione della superficie di attacco di livello enterprise senza costi di licenza, senza prezzi per asset e completamente open source.

---

Perché cvENGINE

Gli strumenti per la superficie di attacco trovano gli asset. Gli scanner di vulnerabilità trovano i difetti. I feed di minacce trovano le CVE. cvENGINE esegue tutti e tre come un unico ciclo continuo e ti consegna un verdetto invece di un mucchio di avvisi. Risponde all'unica domanda che conta: quali delle vulnerabilità odierne sono attive sugli asset che possiedo e posso riprodurle?

• Visibilità totale. Domini, sottodomini, IP, porte, prodotti, versioni, TLS e tecnologie vengono scoperti automaticamente e archiviati in un unico inventario in stile Shodan che si mantiene aggiornato. Basta inserire il nome del tuo dominio e cvENGINE fa il resto.
• Confrontato con il tuo ambiente. Il feed live cve.now e le principali fonti di sfruttamento sono classificati fire, smoke o ice e confrontati con ciò che esegui effettivamente, per prodotto e versione, tenendo conto dei backport delle distribuzioni.
• Verdetti, non rumore. L'AI classifica i tuoi risultati, le verifiche in sola lettura riproducono ciò che possono e regole fisse impediscono al modello di ignorare le prove concrete. Ogni verifica registra esattamente ciò che ha eseguito.
• Niente cambia inosservato. Nuovi host, porte aperte, incrementi di versione, nuovi certificati, pagine di login che compaiono e home page che cambiano finiscono tutti su una timeline.
• Scansione in pochi minuti. Un unico stack Docker Compose con tutti gli scanner integrati. Nessun agente da installare, nessun account cloud da aprire.
• Completamente tuo. Open source e self-hosted. Il tuo inventario resta sul tuo server e puoi usare le tue chiavi AI o eseguire un modello sul tuo hardware. Nulla viene inviato agli autori.

Tutto incluso

Scopri. Scoperta di sottodomini e asset con bbot in modalità passive, standard e deep (screenshot in deep). Un monitoraggio della certificate transparency che porta i nuovi hostname direttamente nella valutazione. Target come domini, IP, intervalli CIDR o URL, aggiunti in blocco per organizzazione e progetto. Ogni dominio apex riceve una scansione approfondita ogni settimana.

Comprendi. Un record per host: porte, servizi, prodotti, versioni, OS, banner, TLS e tecnologie, da nmap e nuclei. naabu scansiona ogni porta di ciascun indirizzo prima che nmap ne identifichi le impronte, più una scansione in background di tutte le 65.535 porte, un host alla volta, per qualsiasi cosa cambi nel frattempo. Verifiche delle route web che etichettano ogni route come open, login, session required, SSO o redirect. Verifiche di esposizione per Redis, Memcached, PostgreSQL, Elasticsearch e CouchDB che rispondono senza login. Igiene di email e dominio: SPF, DKIM, DMARC, CAA, MTA-STS, DANE, DNSSEC e TLS.

Dai priorità. Valutazioni fuoco, fumo e ghiaccio da CISA KEV, ENISA EUVD, Metasploit, Exploit-DB, EPSS, CVSS e, facoltativamente, VulnCheck KEV. Un punteggio da 0 a 100 per ogni host, con le motivazioni mostrate. Triage AI di ogni rilevamento in confermato, probabile, da validare, probabile falso positivo o non applicabile. Collega la tua AI, con le tue chiavi API (Anthropic, OpenAI, OpenRouter) o un modello sul tuo hardware (Ollama, vLLM), e una revisione ogni tre ore accoda il successivo triage, validazione o nuova scansione per progetto e regola la concorrenza dello scanner in base a misurazioni reali.

Verifica. Validazione automatica in sola lettura: un template nuclei verificato, un controllo nmap su singola porta, una sonda sul banner o il controllo del database, ciascuno registra il comando esatto eseguito. Valida ora su qualsiasi corrispondenza CVE. Quando non esiste un template, l'AI ne redige uno, che non viene mai eseguito sui tuoi host finché una persona non lo approva. Esecuzione automatica facoltativa (disattivata per impostazione predefinita) che testa le nuove CVE sugli host corrispondenti man mano che il feed le fornisce.

Gestisci. Cerca ogni host, porta, banner e rilevamento come cerchi su Shodan: port:3389 -host:vpn, tech:"apache tomcat" sev:high, ip:203.0.113.0/24 product:nginx (Ricerca). Una dashboard live, un registro delle attività AI e una pagina Modifiche con diff affiancati degli screenshot. Riesegui la scansione, blocca, escludi o archivia qualsiasi host, e registra il suo proprietario e la sua criticità. Organizzazioni, progetti, ruoli (admin, user, audit), una vista Tutti i progetti, accesso in due passaggi, una allowlist di IP e un registro di audit. Un'API REST, un server MCP e una specifica OpenAPI affinché gli agenti operino con gli stessi permessi. Un banco di lavoro per bug bounty per i cacciatori: sfoglia i programmi e gli scope di HackerOne, Bugcrowd, Intigriti e YesWeHack, punta lo scanner su ciò che è in scope e redigi report dai suoi rilevamenti. Disattivato finché un amministratore non lo abilita. Avvisi su Slack, Discord, Telegram e Lark se non vuoi monitorare una dashboard. Un interruttore sospende tutte le scansioni. La pianificazione consapevole della memoria mantiene in salute i server piccoli, e gli aggiornamenti completano prima il lavoro in corso oppure vengono distribuiti automaticamente a ogni nuovo commit.