Descoberta automática
Conecte uma vez e o Leavory mapeia projetos, repositórios e pipelines sozinho, em segundo plano.
Tudo o que a engenharia precisa ver, num só portal.
Conecte Azure DevOps, GitHub e GitLab, e o Leavory mapeia o resto sozinho: cada projeto, pipeline, acesso e imagem, como cada time entrega, o que está vulnerável e o que corrigir antes.
Com o que o Leavory se conecta e contra o que confere
Conecta com
- Azure DevOps
- GitHub
- GitLab
Usa
- Trivy
Fontes de segurança
- OSV
- NVD
- GitHub Advisories
- CVE.org
- CISA KEV
- EPSS
O Leavory substitui as planilhas e as ferramentas espalhadas que sustentam a sua engenharia. Um lugar só, onde inventário, entrega, acessos e risco convivem.
Plataforma
Tudo o que você roda, numa visão.
Cada projeto, repositório e pipeline mapeado sozinho, do dashboard até as imagens que rodam em produção.
Conheça a plataforma-
Dashboard
Veja numa tela se está mais seguro que há uma semana.
-
Projetos e métricas DORA
Cada projeto mapeado sozinho, com métricas DORA por time.
-
Saúde do repo
Abra um repositório e veja o que está falhando, com notas de saúde por time.
-
Pipelines
Cada pipeline achada na hierarquia que você já usa, escaneada com Trivy.
-
Imagens em produção
As imagens em produção, ao lado dos projetos e das pipelines que as geram.
Uma plataforma. Uma resposta por papel.
-
Times de segurança
Chega de triar milhares de CVEs. Veja só o que atinge seus pacotes e está sendo explorado, e onde cai uma CVE nova assim que sai.
“Algo nosso está sendo explorado agora?”
-
Desenvolvedores
Abra seu repositório, veja o que falha e receba a correção pronta, até a dependência e a versão a trocar.
“Qual dependência e qual versão eu troco?”
-
Gestores de plataforma e de engenharia
Cada projeto, repositório e pipeline mapeado sozinho, com métricas DORA e notas de saúde por time.
“Quais pipelines estão entregando builds vulneráveis?”
-
Liderança e compliance
Veja numa tela se está mais seguro que há uma semana, com resumo executivo e evidências prontas para a auditoria.
“Mais seguros que semana passada?”
Tudo o que a sua engenharia precisa enxergar, sem o ruído.
Cada recurso abaixo tem o mesmo contexto: o problema vai do time dono dele à correção certa sem trocar de ferramenta.
IA que conhece a sua engenharia
Pergunte em linguagem simples o que falha, quem é o dono e o que mudar.
Segurança que conhece o dono
Uma CVE nova chega ao projeto, à pipeline e ao time afetados no dia em que sai.
Feito para o
Azure DevOps
Veja o risco da organização inteira. O Leavory mapeia cada projeto, repositório e pipeline, e um template pronto do Azure Pipelines escaneia cada build. Só os resultados chegam ao Leavory. O seu código fica no Azure DevOps.
-
01
Espelha a sua organização
Projetos, repositórios e pipelines são achados na hierarquia que você já usa. Nada para recriar ou marcar à mão.
-
02
Pronto para o Azure Pipelines
Um template pronto roda o Trivy e publica o SBOM e os artefatos do scan. Sem agentes.
-
03
Um clique até o Azure DevOps
Cada projeto, repositório e pipeline leva direto de volta para onde o seu time já trabalha.
Também no GitHub ou GitLab? Conectam do mesmo jeito e caem na mesma visão, o que ajuda em migrações e aquisições.
De uma CVE nova
ao time que a corrige
O Trivy diz o que está vulnerável. O Leavory diz o que está sendo explorado agora (CISA KEV), qual a chance de o resto ser (EPSS), quais projetos cada CVE atinge e quem é o dono deles.
Conheça a inteligência
Sua organização
Inteligência de vulnerabilidades
Buscar achados
Corrigir primeiro
Ordenados por exploração ativa e probabilidade de exploração
| Achado | Severidade | Status |
|---|---|---|
| CVE explorada no log4j-coreorders-api | Explorada | Novo |
| Token JWT sem expiraçãoauth-service | Crítica | Novo |
| Segredo em variável de ambientepayments-api | Crítica | Analisado por IA |
| Chave AWS commitadainfra-terraform | Segredo | Analisado por IA |
| SQL injection em /ordersmobile-gateway | Alta | Novo |
| Dependência com CVE sem correçãocheckout-web | Alta | Novo |
| Header de segurança ausente (CSP)billing-service | Média | Analisado por IA |
Crítica
Novo
Token JWT sem expiração
Por que importa
Os tokens deste serviço nunca expiram. Se um vazar, segue válido para sempre e pode ser reusado contra a API.
O que mudar primeiro
-
Adicione uma claim
expde curta duração ao emitir os tokens. - Recuse tokens que cheguem sem ela.
Achados de exemplo
-
01
Inteligência de vulnerabilidades
Só as CVEs que tocam os seus pacotes, com as exploradas primeiro (CISA KEV, EPSS).
-
02
Exposição do inventário
CVEs conhecidas em todos os repos, até nos sem scan.
-
03
Análise de impacto
Onde uma CVE nova cai: projetos, repositórios, imagens e seus donos.
-
04
Correção com IA
O risco em linguagem simples e uma correção rascunhada, pronta para o seu time revisar.
De conectado
a governado
Cada ferramenta responde uma pergunta, um repositório por vez. O Leavory junta tudo num lugar: o que existe, quem é o dono, como vai para produção, quem pode mudar e o que traz risco.
-
01
Conectar
Autorize a sua organização do Azure DevOps em poucos cliques, com acesso só de leitura e sem agentes para instalar. GitHub e GitLab se conectam do mesmo jeito.
-
02
Mapear
Projetos, repositórios, pipelines, imagens e acessos são achados sozinhos, na hierarquia que você já usa, cada um ligado a time e dono.
-
03
Medir
Métricas DORA e notas de saúde por time, pipelines sem gate, quem tem admin e as vulnerabilidades dos seus builds, conferidas todo dia em seis fontes com o Trivy.
-
04
Agir
Uma lista curta do que precisa de atenção na semana, cada item com dono e o que mudar, de um gate na pipeline à versão de uma dependência.
O Leavory nunca lê o seu código-fonte.
Trivy, SAST, Sonar e a busca de segredos rodam dentro da sua própria pipeline. O Leavory só coleta os resultados, o SBOM e os artefatos do scan. No SaaS, ele nem chega perto dos seus repositórios.
O que chega ao Leavory
- Resultados e achados
- SBOMs e artefatos de scan dos seus builds
- Metadados de projetos, repositórios e pipelines, por tokens só de leitura
O que nunca sai da sua organização
- O seu código-fonte
- Clone de repositório
Dois jeitos de rodar o Leavory
Escolha o quanto o Leavory enxerga. Nos dois, o seu código-fonte fica onde está.
-
SaaS
O Leavory não mexe em nada do seu ambiente.
- Só resultados de pipeline, SBOMs e artefatos de scan chegam ao Leavory
- Nenhum acesso aos repositórios: tokens só de leitura, com controle de acesso e isolamento por organização
- Nada para instalar nem operar
-
No seu ambiente
O Leavory roda na sua infraestrutura, sob o seu controle.
- Tudo o que o SaaS tem, com todos os dados dentro do seu ambiente
- Leitura de manifestos opcional: CVEs conhecidas antes do scan
- Você decide o que ele pode alcançar, e pode desligar
Veja o Leavory em ação.
Diga qual plataforma você usa, e um engenheiro (não um robô de vendas) chama você para uma demo.