Masz plik z Burp Suite, Nessusa, skanera SARIF albo eksport z DefectDojo. Importujesz go do ipIII — dostajesz evidence package z hashem integralności, zadanie remediacji trafia do właściwego zespołu, a po poprawce retest zamyka incydent z dowodem, nie na słowo. To jest działające MVP jednej ścieżki: import → evidence → zadanie → retest → close. Sample pack możesz pobrać bez logowania i zobaczyć realny JSON, zanim cokolwiek podłączysz.
ipIII to MVP warstwy evidence dla zespołów AppSec: parsery Burp / Nessus / SARIF / DefectDojo / CSV zamieniają
surowy raport skanera na finding w bazie, z którego powstaje evidence package (manifest + sha256
+ chain-of-custody), zadanie remediacji dla dewelopera i retest, który zamyka incydent razem z dowodem naprawy.
Nie musisz wierzyć nam na słowo — pobierz próbkę i sprawdź hash sam.
Zamiast ręcznie zbierać wyniki z kilku skanerów do jednego arkusza dla managera, importujesz plik parsera
i dostajesz znormalizowany finding z ID skanera, severity i metadanymi w jednym miejscu.
LIVE parsery Burp/ZAP/Nessus/CSV/SARIF (Fala Wisienka #1, testy 13/13 unit).
Z findingu powstaje zadanie z przypisanym właścicielem, priorytetem i terminem — deweloper widzi konkretną rzecz do naprawy, nie surowy log skanera do interpretacji.
MVP szkielet zadania; integracja z Jira/GitHub Issues jako ROADMAP.
Retest po poprawce generuje nowy wpis w evidence package — zamknięcie incydentu ma za sobą hash i chain-of-custody, nie tylko zmianę statusu w tabeli.
LIVE evidence-package JSON z package_sha256.
Sample pack (Burp/Nessus/SARIF demo + evidence-package demo) jest publiczny i bez logowania — możesz zweryfikować hash i strukturę danych przed integracją z realnym środowiskiem.
PUBLIC /samples — brak auth.
Cztery kroki, każdy z dowodem. Szczegóły parserów i endpointów opisane osobno na /connectors i /api-explorer.
| Krok | Co się dzieje | Co powstaje jako dowód | Status |
|---|---|---|---|
| 1. Import | Wgrywasz plik z Burp Suite (XML), Nessusa (CSV/.nessus), SARIF (skaner statyczny) lub eksport DefectDojo. Parser normalizuje pola do wspólnego formatu findingu. | Rekord finding w PostgreSQL z ID źródłowym skanera, severity, opisem, znacznikiem czasu. |
LIVE |
| 2. Evidence package | Z findingu(ów) powiązanych z incydentem generowany jest pakiet: manifest + sha256 całości + log
chain-of-custody (kto, kiedy, co zmienił). |
Plik JSON (i opcjonalnie PDF board-pack) do pobrania i zweryfikowania hasha przez /verify. | LIVE |
| 3. Remediation task | Finding zamienia się w zadanie do wykonania — z priorytetem wynikającym z severity/CVSS/EPSS (offline hint) i przypisanym właścicielem. | Rekord zadania powiązany z findingiem; status "otwarte/w toku/do retestu". | MVP |
| 4. Retest → close | Po poprawce zespół zgłasza retest; jeśli finding nie występuje ponownie w kolejnym imporcie, incydent zamyka się razem z dowodem (nowy wpis w evidence package, nie tylko zmiana statusu). | Zamknięty incydent z pełnym łańcuchem: import → finding → task → retest → close, wszystko z sha256. |
LIVE |
package_sha256 na
/verify — zobaczysz, że manifest i hash są spójne, zanim zaufasz realnym danym./api/ip3/v1 z przykładowymi żądaniami — możesz przetestować import na środowisku
deweloperskim przed integracją z pipeline CI/CD. Doku dla developerów zbiorczo na /dev.Zgodnie z doktryną claim ≤ proof: to, czego nie potwierdzamy kodem i testem, oznaczamy ROADMAP, nie LIVE.
| Obszar | Stan dziś | Status |
|---|---|---|
| Integracja z Jira / GitHub Issues (auto-tworzenie ticketu) | Zadanie remediacji istnieje w ipIII; eksport do zewnętrznego trackera nie jest jeszcze zautomatyzowany. | ROADMAP |
| MSSP-mode / transport do SIEM strumieniowo | Import dziś z pliku parsera, nie ze strumienia zdarzeń SIEM. | ROADMAP |
| Automatyczne odpytanie CVE/EPSS online | Wzbogacanie działa offline z seedu przy imporcie. | MVP (offline) |
| Pluginy IDE (podpowiedzi w edytorze) | Nie istnieją — dziś przepływ jest przez import pliku i API. | ROADMAP |
Nie. Sample pack na /samples jest publiczny — zawiera demo importu Burp/Nessus/SARIF oraz przykładowy evidence-package w JSON, bez konieczności zakładania konta.
Burp Suite (XML), Nessus (CSV/.nessus), SARIF (skanery statyczne), eksport DefectDojo i generyczny CSV. Pełna lista z rozróżnieniem LIVE/ROADMAP jest na /connectors.
Każdy pakiet ma package_sha256. Wejdź na /verify, wklej hash
z Twojego pliku i porównaj — dziś to weryfikacja integralności hashem, nie kwalifikowany podpis PAdES/TSA (ten
element jest oznaczony jako ROADMAP na stronie known-limitations).
API do importu jest dostępne i opisane na /api-explorer oraz /dev. Dziś to integracja przez wywołania API/plik, bez gotowego pluginu CI — wdrożenie w pipeline wymaga własnego skryptu wywołującego endpoint.
To odsetek incydentów, które przeszły pełną ścieżkę import → finding → evidence → retest → close z dowodem, względem wszystkich zaimportowanych findingów. Metodologia i liczby na /coverage-score — to metryka pokrycia procesu dowodowego, nie ocena bezpieczeństwa całej aplikacji.
Nie. ipIII to warstwa evidence dla wyników, które już masz ze skanerów i testów — porządkuje dowód i remediację. Sam proces testowania (skan, pentest) wykonujesz swoimi narzędziami w granicach ustalonych RoE.
Nie prosimy o rozmowę handlową na starcie. Pobierz sample pack, zweryfikuj hash evidence-package, sprawdź listę konektorów dla swoich skanerów — dopiero potem, jeśli ścieżka pasuje do Twojego zespołu, przejdź do dokumentacji API i zaplanuj integrację z pipeline.
Powiązane: pełna macierz statusów → /status-matrix · uczciwy rejestr ograniczeń → /known-limitations.