Посмотрел что новенького появилось в Rapid7 Nexpose/InsightVM в Q2 2022. Часть изменений из разряда "а как они вообще без этого раньше жили".

Вот только-только появилась поддержка sever­i­ty CVSS v3 в дашбордах. Стандарт зарелизили в июне 2015, данные в NVD были с 2017. И вот через 5 лет после этого только решили и эти данные тоже учитывать? Ну, странно.

Или то, что раньше у них были такие странные дашборды по исправлениям, что прогресс по Reme­di­a­tion Project был виден только когда исправления были применены ко всем активам. А теперь стало лучше: "Yes, this means cus­tomers no longer have to wait for all the affect­ed assets to be reme­di­at­ed to see progress". Ну круто.

Или вот только-только добавили поддержку Alma­L­in­ux и Rocky Lin­ux. Хотя стабильные версии дистрибутивов появились больше года назад и уже активно используются в энтерпрайзе как замена Cen­tOS. Получается клиенты Rapid7 только сейчас получили возможность их сканировать?

Rapid7 используют термин "recur­ring cov­er­age" для поддерживаемых систем. И у них есть в паблике список таких систем. "The fol­low­ing soft­ware list encom­pass­es those prod­ucts and ser­vices that we are specif­i­cal­ly com­mit­ted to pro­vid­ing ongo­ing, auto­mat­ed cov­er­age". Не особо, кстати, большой, но круто, что публичный.

С другой стороны, есть и прикольные фичи, как минимум одна. Это Scan Assis­tant. Фича это была представлена в декабре прошлого года, но сейчас её улучшили. Насколько я понимаю, это что-то вроде агента, который однако не проводит сбора или анализа данных, а только отвечает за аутентификацию сканера. Т.е это решение проблемы использования учеток для сканирования, что всегда адово и рискованно, если утечёт. А так можно раскатать Scan Assis­tant и сканер будет аутентифицироваться не с помощью учётки хоста, а по сертификатам. "Scan Assis­tant, a light­weight ser­vice deployed on an asset that uses dig­i­tal cer­tifi­cates for hand­shake instead of account-based cre­den­tials; This alle­vi­ates the cre­den­tial man­age­ment headaches VM teams often encounter." Вот это прикольная и полезная штука, у других VM вендоров ее не видел. Во втором квартале добавили автоматизацию обновления этого Scan Assis­tant и ротации сертификатов. Круто, что тема развивается. Но пока только для Win­dows.

И есть обновления, которые никаких особенных эмоций у меня не вызвали. Это например Asset cor­re­la­tion for Cit­rix VDI instances или поддержка детекта уязвимостей Ora­cle E‑Business Suite и VMware Hori­zon. Добавили, ну и хорошо.