Skip to main content

​
Übersicht

​
Funktionsweise

Mit Blocking Rules definieren Sie Bedingungen, unter denen Pull Requests nicht gemergt werden dürfen. So verhindern Sie, dass potenziell riskante oder nicht konforme Codeänderungen in Ihre Codebasis gelangen, und setzen die Sicherheits- und Qualitätsstandards Ihrer Organisation durch. Sie können zwei Arten von Blocking Rules erstellen:
  • Code Vulnerability Rules: Blockieren PRs aufgrund von Sicherheitslücken, Code-Quality-Befunden oder beidem
  • Dependency Vulnerability Rules: Blockieren PRs aufgrund anfälliger Abhängigkeiten, die bei SCA-Scans gefunden wurden

​
Zielgruppe

Blocking Rules richten sich hauptsächlich an:
  • Entwicklungsteams
  • Projektmanager
  • Security Engineers
Diese Funktion ist besonders nützlich für Organisationen mit strengen Compliance-Anforderungen oder für diejenigen, die an geschäftskritischen Anwendungen arbeiten, bei denen Code Quality und Sicherheit von größter Bedeutung sind.

​
Hauptmerkmale und Vorteile

Definieren Sie Regeln anhand von Common Weakness Enumerations (CWEs), um Pull Requests zu blockieren, die bestimmte Schwachstellen oder Code-Quality-Probleme einführen.
Weisen Sie verschiedenen Arten von Problemen Dringlichkeitsstufen zu (z. B. kritisch, hoch, mittel, niedrig), sodass Sie sie entsprechend priorisieren und bearbeiten können.
Definieren Sie für Dependency Vulnerability Rules einen einschließlich der Grenzwerte geltenden CVSS-Bereich, um anfällige Abhängigkeiten anhand ihres CVSS-Scores zu blockieren.
Wenden Sie Blocking Rules auf bestimmte Projekte, Projekt-Tags oder Ihre gesamte Organisation an. So steuern Sie präzise, welche Regeln für welche Projekte gelten.
Erstellen, bearbeiten und löschen Sie Blocking Rules über eine übersichtliche Oberfläche, damit die Regeln mit Ihren Anforderungen Schritt halten.
Schalten Sie den Status von Blocking Rules um, um sie bei Bedarf vorübergehend zu aktivieren oder zu deaktivieren, ohne ihre Konfigurationen zu verlieren.

​
Regeltypen

Blocking Rules unterstützen für eine umfassende Absicherung zwei verschiedene Typen:

Code Vulnerability

Blockiert Pull Requests basierend auf Sicherheitslücken, Code-Qualitätsbefunden oder beidem.Konfiguration:
  • Issue-Typ auswählen: All, Vulnerabilities oder Code Quality
  • Bestimmte CWE-Kategorien (Common Weakness Enumeration) auswählen
  • Festlegen von Dringlichkeits-/Schweregraden
Verhindern Sie damit unter anderem SQL-Injection, XSS, unsichere Kryptografie und andere Schwachstellen auf Codeebene.

Dependency Vulnerability

Blockiert Pull Requests aufgrund anfälliger Abhängigkeiten, die durch Software Composition Analysis (SCA) gefunden wurden.Konfiguration:
  • Festlegen von Dringlichkeits-/Schweregraden (Kritisch, Hoch, Mittel, Niedrig)
  • Alternativ einen einschließlich der Grenzwerte geltenden CVSS-Bereich von 0,0 bis 10,0 festlegen
Verhindern Sie damit, dass Pakete mit bekannten Schwachstellen in Ihre Software-Lieferkette gelangen.

​
So funktioniert es mit GitHub

Voraussetzung Sie müssen die Corgea GitHub App installiert und mit den entsprechenden Repository-Berechtigungen konfiguriert haben.
1

Pull Request einreichen

Ein Entwickler reicht einen Pull Request mit Codeänderungen ein
2

Automatisierte Analyse

Das System analysiert die Codeänderungen anhand der aktiven Blocking Rules
3

Regelüberprüfung

Bei Regelverstößen wird der Pull Request automatisch blockiert
4

Benachrichtigung des Entwicklers

Der Entwickler erhält eine detaillierte Benachrichtigung über Regelverstöße
5

Behebung

Vor dem Merge muss der Entwickler die Verstöße beheben und als Fixed markieren oder sie als False Positive beziehungsweise Accepted Risk kennzeichnen

​
So funktioniert es mit Azure DevOps

Voraussetzung Stellen Sie sicher, dass die Azure DevOps-Integration mit Corgea konfiguriert ist und Sie die erforderlichen Berechtigungen besitzen.
1

Pull Request einreichen

Ein Entwickler reicht in Azure DevOps einen Pull Request mit Codeänderungen ein.
2

Automatisierte Analyse

Das System prüft die Codeänderungen anhand der in Corgea aktiven Blocking Rules.
3

Regelüberprüfung

Bei Regelverstößen wird der Pull Request automatisch blockiert.
Der Entwickler kann den PR erst mergen, nachdem die Verstöße behoben wurden.
4

Benachrichtigung des Entwicklers

Der Entwickler erhält einen Link zu ausführlichen Informationen über die beanstandeten Issues auf der Scan-Seite von Corgea.
5

Behebung

Vor dem Merge muss der Entwickler die Verstöße beheben oder als False Positive beziehungsweise Accepted Risk markieren.

​
Bedienungsanleitung

​
Neue Blocking Rule erstellen

1

Erstellung initiieren

Klicken Sie auf “Add Blocking Rule”
2

Regeltyp wählen

Wählen Sie den Typ der Blocking Rule:
  • Code Vulnerability: Blockiert Pull Requests aufgrund von Sicherheitsproblemen im Code (SAST-Befunde)
  • Dependency Vulnerability: Blockiert Pull Requests aufgrund anfälliger Abhängigkeiten (SCA-Befunde)
3

Grundinformationen

Regelname und Beschreibung eingeben
4

Einstellungen konfigurieren

Für Code Vulnerability Rules: Wählen Sie unter Issue Type, ob die Regel für All Befunde, nur Vulnerabilities oder nur Code Quality gelten soll. All ist die Standardeinstellung und entspricht dem Verhalten vorhandener Regeln. Wählen Sie anschließend Dringlichkeitsstufen (Critical, High, Medium oder Low) und/oder Ziel-CWEs aus. Mindestens eine dieser Angaben ist erforderlich.Für Dependency Vulnerability Rules: Wählen Sie die Filterung nach Schweregrad oder CVSS-Score. Wählen Sie Dringlichkeitsstufen (Critical, High, Medium oder Low) oder geben Sie einen minimalen und maximalen CVSS-Score zwischen 0,0 und 10,0 ein. Die Grenzwerte sind jeweils eingeschlossen.
5

Bereich festlegen

Wählen Sie zutreffende Projekte und/oder Projekttags (optional) aus. Eine Regel gilt, wenn ein Projekt direkt ausgewählt ist oder einen ausgewählten Tag hat. Wenn keine Projekte oder Tags ausgewählt sind, gilt die Regel für alle Projekte.
6

Speichern

Prüfen Sie die Angaben und klicken Sie auf “Create”

​
Vorhandene Regeln verwalten

Suchen Sie Regeln anhand ihres Namens oder ihrer Einstellungen. Mit dem Projekt-Tag-Filter zeigen Sie Regeln für Projekte mit einem bestimmten Tag an. In der Regeltabelle enthält die Spalte “Projects” die ausgewählten Projekte und Projekt-Tags als Chips. Bei Regeln ohne Projekt- oder Tag-Scope steht dort All Projects; längere Listen werden in einem Tooltip unter +N more zusammengefasst.
  1. Regel in der Tabelle finden
  2. Klicken Sie auf “Edit”
  3. Passen Sie die Einstellungen nach Bedarf an
  4. Klicken Sie zum Speichern auf “Update”

​
Regeln bei Scans anzeigen

Sie können Blocking Rules, die für Ihre Scans gelten, an zwei Orten anzeigen:
  1. Auf der Detailseite des Scans sehen Sie einen Abschnitt “Blocking Rules”, der alle ausgewerteten Regeln zeigt:
  1. In den Details einzelner Issues sehen Sie, welche Blocking Rules ausgelöst wurden:
So erkennen Sie, welche Regeln sich auf Ihre Scans und einzelne Issues auswirken und weshalb bestimmte Änderungen blockiert werden.

​
Beispiele

Regeltyp: Code-SchwachstelleErstellen Sie eine Regel, die auf CWE-326 (unzureichende Verschlüsselungsstärke) und CWE-327 (Verwendung eines gebrochenen oder riskanten kryptografischen Algorithmus) mit der Dringlichkeit “Kritisch” abzielt, um die Verwendung schwacher Verschlüsselung zu verhindern.
Regeltyp: Code VulnerabilityWählen Sie Code Quality als Issue-Typ und erstellen Sie eine Regel für CWE-398 (Indicator of Poor Code Quality) und CWE-477 (Use of Obsolete Functions) mit der Dringlichkeit “Medium”, um Ihre Code-Standards durchzusetzen.
Regeltyp: Dependency VulnerabilityErstellen Sie eine Regel mit den Dringlichkeitsstufen “Critical” und “High”. Sie blockiert automatisch alle Pull Requests, die Abhängigkeiten mit kritischen oder schwerwiegenden Schwachstellen einführen, und schützt so Ihre Software-Lieferkette vor bekanntermaßen anfälligen Paketen.
Regeltyp: Dependency VulnerabilityErstellen Sie eine Regel, die nach CVSS-Score filtert, z. B. 7,0 bis 10,0, um Pull Requests zu blockieren, die verwundbare Abhängigkeiten innerhalb dieses Score-Bereichs einführen.

​
Best Practices

Implementierungstipps

  • Beginnen Sie mit den wesentlichen Regeln und erweitern Sie sie schrittweise
  • Beginnen Sie bei Dependency Vulnerability Rules nur mit dem Schweregrad Critical oder einem gezielten CVSS-Bereich und erweitern Sie die Regel, sobald sich Ihr Team darauf eingestellt hat
  • Konzentrieren Sie sich bei Code Vulnerability Rules zunächst auf die folgenreichsten CWEs (z. B. Injection- und Authentifizierungsfehler)
  • Regelmäßige Überprüfung und Aktualisierungen
  • Klare Dokumentation und Schulung des Teams
  • Feedback und Zusammenarbeit fördern
  • Strategische Nutzung von Dringlichkeitsstufen
  • Berücksichtigen Sie Projekttags, wenn dieselbe Regel eine Gruppe verwandter Projekte abdecken soll

​
Fehlerbehebung

Wenn ein Pull Request unerwartet blockiert ist, überprüfen Sie zuerst die aktiven Regeln und deren Konfigurationen.
  • Unerwartetes Blockierverhalten
  • Fehlerhafte Zieldefinition der Regel
  • Probleme mit dem Projekt-Scope
  • Überprüfen Sie die Regelkonfigurationen
  • CWE-Zielsetzung überprüfen
  • Projekteinstellungen bestätigen
  • Bei Bedarf den Support kontaktieren