Issue-Export

Übersicht

Corgea bietet mehrere Exportoptionen für Security-Befunde und unterstützt damit unterschiedliche Tools und Workflows. Exportieren Sie Scan-Ergebnisse in branchenüblichen Formaten zur weiteren Analyse, für Berichte oder zur Verarbeitung in anderen Security-Tools. Auf den Tabs SAST, Logic & Auth, Secrets und Code Quality folgen CSV-Exporte und die Code-Befunde eines SARIF-Exports diesem Tab und den im Exportdialog bestätigten Filtern. Der Dialog übernimmt dabei zunächst die aktuellen Filter des Tabs, einschließlich New Issues. Ist New Issues aktiv, enthalten diese Code-Befunde nur Befunde, die der Scan neu eingeführt hat. Gibt es keine, ist der Code-Teil des Exports leer. Eine SARIF-Datei enthält weiterhin die Abhängigkeits- und Container-Befunde des Scans in einem eigenen Run. Dieser Run folgt weder dem Tab noch New Issues.

Exportformate

SARIF-Export

SARIF (Static Analysis Results Interchange Format) ist ein branchenübliches Format zur Darstellung der Ergebnisse statischer Analysetools. Corgea unterstützt den Export von Scan-Ergebnissen im SARIF 2.1.0-Format, wodurch die Integration mit verschiedenen Sicherheitstools und CI/CD-Pipelines erleichtert wird.

So exportieren Sie in SARIF

Einen abgeschlossenen Scan öffnen

Gehen Sie zur Seite mit den Scan-Ergebnissen Ihres Projekts, auf der Sie alle erkannten Sicherheitsprobleme sehen können.

Den Exportdialog öffnen

Klicken Sie über den Scan-Ergebnissen auf Export. Der Dialog folgt dem aktiven Tab SAST, Logic & Auth, Secrets oder Code Quality.

SARIF auswählen

Wählen Sie SARIF, prüfen oder bearbeiten Sie die von der Scan-Seite übernommenen Filter und klicken Sie auf Export. Die Code-Befunde folgen den im Dialog bestätigten Filtern.

Ausgewähltes Format SARIF im Scan-Exportdialog

Die Schaltfläche Export wird erst nach Abschluss eines Scans aktiviert. Während des Scans ist sie deaktiviert und zeigt den Tooltip Downloads are available after the scan completes.

SARIF-Berichtsstruktur

Der exportierte SARIF-Bericht entspricht der SARIF 2.1.0-Spezifikation und enthält:

Toolinformationen: Details zu Corgea als Scan-Tool
Regeln: Definitionen von Sicherheitslücken, einschließlich CWE-Klassifikationen, einer numerischen security-severity-Punktzahl und Hilfetext
Ergebnisse: Einzelne Sicherheitsbefunde mit Standorten, Beschreibungen und Metadaten
Code Flows: Source-to-Sink-Traces einschließlich Propagation-Schritten, sofern Datenflusskontext für den Befund vorliegt
Taxonomien: Projekt-Tags und geltende Code Blocking Rules für die Richtlinienauswertung in CI/CD

Code Flows ermöglichen kompatiblen Tools, den Pfad nicht vertrauenswürdiger Eingaben durch die Anwendung darzustellen. Jeder Schritt ist als source, propagation oder sink gekennzeichnet. Befunde ohne verfügbaren Datenflusskontext werden weiterhin mit primärer Position und Beschreibung exportiert. Jedes Ergebnis wird über die Taxonomie corgea_project_tags den Tags des gescannten Projekts zugeordnet. Ergebnisse, die gegen eine aktive Code Blocking Rule verstoßen, werden über corgea_pr_policies zusätzlich dieser Regel zugeordnet. CI/CD-Plattformen mit Unterstützung für SARIF-Taxonomien können dadurch Richtlinienverstöße erkennen und Builds blockieren. Taxonomien für Blocking Rules werden nur einbezogen, wenn die exportierende Person Blocking Rules anzeigen darf. Jede Sicherheitsregel im SARIF-Bericht umfasst:

{
  "id": "CWE-89",
  "name": "SQL Injection",
  "shortDescription": {
    "text": "SQL Injection"
  },
  "fullDescription": {
    "text": "CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')"
  },
  "helpUri": "https://cwe.mitre.org/data/definitions/89.html",
  "help": {
    "text": "CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')\n\nUser-controlled input is concatenated into a SQL query without parameterization.",
    "markdown": "## SQL Injection\n\nUser-controlled input is concatenated into a SQL query without parameterization."
  },
  "defaultConfiguration": {
    "level": "warning"
  },
  "properties": {
    "security-severity": "5.0",
    "tags": ["security", "corgea", "sast", "CWE-89", "python"]
  }
}

Die Werte level und security-severity werden aus der Dringlichkeit des Befunds abgeleitet: Critical und High werden error, Medium wird warning, Low und Informational werden note zugeordnet.

SCA-Befunde in SARIF

Wenn Sie über die Berechtigung View SCA Issue verfügen, enthält der Export neben den Code-Befunden einen zweiten SARIF-Lauf namens Corgea SCA. Sie müssen ihn nicht separat anfordern: Der SCA-Lauf befindet sich in derselben Datei, die Sie über die Registerkarten SAST, Logic & Auth, Secrets oder Code Quality herunterladen. Der Lauf enthält die aktiven Abhängigkeits- und Container-Befunde des Scans. Behobene Befunde, False Positives und akzeptierte Risiken werden ausgeschlossen. Jedes Ergebnis führt Paket, Version, Ökosystem, CVSS-Punktzahl, behobene Version, Abhängigkeitstyp, Erreichbarkeit und Lizenzen als SARIF-Eigenschaften und verweist auf das Manifest oder die Lockfile, die die Abhängigkeit deklariert, statt auf eine Zeile Ihres eigenen Quellcodes. Abhängigkeitsbefunde enthalten keine Code Flows – Source-to-Sink-Traces gelten nur für Code-Befunde. Der SCA-Lauf deklariert die eigene Analysekategorie corgea/sca/, sodass Plattformen wie GitHub Code Scanning Code- und Abhängigkeitsergebnisse als voneinander unabhängige Meldungen verfolgen. Der Lauf wird auch dann einbezogen, wenn ein Scan keine SCA-Befunde hat, damit diese Plattformen Meldungen aus früheren Scans auflösen können. Geltende SCA Blocking Rules werden über dieselbe Taxonomie corgea_pr_policies wie Code-Regeln zugeordnet und nur einbezogen, wenn Sie außerdem Blocking Rules anzeigen dürfen.

Beispiel-SARIF-Bericht

Sie können hier einen vollständigen SARIF-Beispielbericht einsehen: Sample SARIF Report Das Beispiel enthält 27 Befunde über 14 Regeln hinweg, einschließlich:

SQL-Injection (CWE-89)
OS Command Injection (CWE-78)
Cross-Site-Scripting (CWE-79)
Path Traversal (CWE-22)
Deserialisierung von nicht vertrauenswürdigen Daten (CWE-502)
Server-Side Request Forgery (CWE-918)
Und andere häufige Sicherheitslücken

Zwölf Befunde enthalten einen codeFlows-Eintrag. Das Beispiel zeigt damit sowohl Source-to-Sink-Traces als auch Befunde ohne Datenflusskontext.

CSV-Export

Das CSV-Format (Comma-Separated Values) bietet eine einfache, tabellenkalkulationskompatible Exportoption für Ihre Sicherheitsbefunde. Dieses Format ist ideal für:

Erstellung benutzerdefinierter Berichte und Dashboards
Import in Business-Intelligence-Tools
Weitergabe der Befunde an Stakeholder, die tabellarische Daten bevorzugen
Durchführung von Massenanalysen in Tabellenkalkulationsprogrammen

Beim Export aus der Code Quality-Ansicht wendet Corgea die Code Quality-Filter automatisch an, sodass die CSV die Code Quality-Befunde für die ausgewählten Filter enthält. Beim Export von SCA-Abhängigkeiten enthält die CSV eine Dependency Type-Spalte, damit Sie direkte, transitive, Entwicklungs- und optionale Abhängigkeiten unterscheiden können. Der CSV-Export enthält zentrale Informationen zu jedem Security-Befund:

Issue-ID und Scan-ID zur Nachverfolgung
Projektname und Klassifizierungsdetails
Schwachstellentyp (CWE-Klassifizierung) und Dringlichkeitsstufe
Dateispeicherort, Zeilennummer und Programmiersprache
Problembeschreibung und Schweregradbewertungen
E-Mail und Name des Zuständigen, wenn ein Problem zugewiesen ist
Scan-Metadaten, formatiert als semikolongetrennte key=value-Paare

Wählen Sie im Scan-Exportdialog CSV, prüfen oder bearbeiten Sie die übernommenen Filter und klicken Sie auf Export. CSV-Exporte unterstützen standardmäßig bis zu 150.000 Zeilen; Ihre Bereitstellung kann eine andere Grenze festlegen. Exporte werden im Hintergrund erstellt: Schnelle Exporte werden sofort heruntergeladen. Bei länger dauernden Exporten können Sie den Dialog schließen und erhalten eine Benachrichtigung, sobald die Datei bereit ist. Öffnen Sie Export erneut, um Dateien innerhalb von 24 Stunden unter Recent exports herunterzuladen. Exporte über der Grenze werden abgelehnt statt gekürzt; schränken Sie die Filter ein und versuchen Sie es erneut. Wenn der Exportdialog anzeigt, dass der Export jetzt erstellt wird, lassen Sie ihn bis zum Abschluss des Downloads geöffnet. Bei Bereitstellungen ohne Exportverarbeitung im Hintergrund zeigt der Dialog, wie lange ein größerer Export dauern kann.

Exportdialog eines Scans mit ausgewählter CSV-Option und fertigen Dateien unter Recent exports

Beispiel CSV-Bericht

Sie können hier einen vollständigen Beispiel-CSV-Bericht ansehen: Sample CSV Report Das CSV-Format enthält diese Spalten:

Issue ID: Eindeutige Kennung für jeden Sicherheitsbefund
Scan ID: Bezeichner, der Befunde einem bestimmten Scan-Lauf zuordnet
Project Name: Name des gescannten Projekts
Classification ID: CWE-Bezeichner (z. B. CWE-89 für SQL-Injection)
Issue Classification: Lesbarer Name der Schwachstelle
Urgency: Prioritätsstufe (CR=Critical, HI=High, ME=Medium)
File: Pfad zur betroffenen Quellcodedatei
Line Number: Zeile, in der das Issue erkannt wurde
Language: Programmiersprache der betroffenen Datei
Assignee Email: E-Mail-Adresse der zuständigen Person, sofern verfügbar
Assignee Name: Name der zuständigen Person, sofern verfügbar
Scan Metadata: Dem Scan zugeordnete Metadaten, formatiert als semikolongetrennte key=value-Paare

CSV-Exporte auf der Scan-Seite enthalten außerdem die Spalte Finding Type. Bei diesen Code-Befunden ist der Wert SAST, Logic & Auth, Secret oder Code Quality.

Auf der Seite Advanced Vulnerability Search werden die Ergebnisse auf mehrere Seiten verteilt. Der CSV-Export enthält alle Befunde, die den aktiven Filtern entsprechen, nicht nur die Befunde auf der aktuellen Seite, sowie die Spalten Assignee Email, Assignee Name und Scan Metadata.

PDF-Export

Der PDF-Export erstellt einen formatierten Bericht im Corgea-Branding, den Sie mit Stakeholdern ohne Corgea-Zugang teilen können. Anders als die für Tools ausgelegten Rohdatenformate SARIF und CSV ist das PDF präsentationsfertig und enthält Deckblatt, Schweregradübersicht und Befundtabelle.

So exportieren Sie als PDF

Den Exportdialog öffnen

Klicken Sie auf der Scan-Detailseite auf Export, wählen Sie PDF und klicken Sie auf Export, um den Dialog Export as PDF zu öffnen. PDF ist auf den Tabs SAST, Logic & Auth und Secrets verfügbar.

Wählen, was eingeschlossen werden soll

Filtern Sie die Befunde nach Issue types und Urgency. Standardmäßig sind alle Issue-Typen und Dringlichkeitsstufen ausgewählt. Findings to export wird beim Ändern der Filter aktualisiert und zeigt die Anzahl der Befunde im Bericht.

Dialog Export as PDF mit Filtern für Issue-Typ und Dringlichkeit

Bericht generieren

Klicken Sie auf Generate PDF. Corgea erstellt den Bericht im Hintergrund und zeigt den Fortschritt an. Sobald die Datei bereit ist, startet der Download automatisch. Der Dateiname lautet corgea_scan_<scan_id>_findings.pdf.

Die Schaltfläche Export wird erst nach Abschluss eines Scans aktiviert. Solange ein Scan noch läuft, ist sie deaktiviert mit dem Tooltip Downloads sind verfügbar, nachdem der Scan abgeschlossen ist.

Was enthalten ist

Der Bericht deckt stets den gesamten Scan ab und enthält SAST-, Logic-&-Auth- und Secrets-Befunde, unabhängig davon, in welchem Tab Sie den Exportdialog geöffnet haben. Es gelten ausschließlich die Filter Issue types und Urgency im Dialog; sie sind von den Filtern auf der Scan-Detailseite unabhängig. Corgea schließt immer Folgendes vom Bericht aus:

False Positives, unabhängig davon, ob das Issue als False Positive markiert oder mit dieser Begründung zurückgestellt wurde
Code-Quality-Befunde; daher ist der PDF-Export im Tab Code Quality nicht verfügbar

Befunde werden unabhängig vom Triage-Status aufgenommen. Open, Fixed und Accepted Risk erscheinen somit gleichermaßen im Bericht.

Berichtsinhalt

Das Deckblatt ist mit Confidential gekennzeichnet und fasst den Scan zusammen:

Organisation: Name Ihrer Corgea-Organisation
Repository: Die Repository-URL oder der Projektname, wenn keine URL verfügbar ist
Branch und Commit: Der gescannte Branch und die Commit-SHA
Scan-Datum: Wann der Scan abgeschlossen wurde
Scan-ID: Die Scan-Kennung
Scan-Status: Ob der Scan abgeschlossen oder unvollständig ist
Befundumfang: Die auf den Bericht angewendeten Filter für Issue-Typ und Dringlichkeit
Gesamtanzahl der Befunde: Die Anzahl der Befunde im Bericht
Exportiert: Wann der Bericht erstellt wurde

Der folgende Befundabschnitt enthält eine Zusammenfassung der Schweregrade mit den Zählungen für Kritisch, Hoch, Mittel und Niedrig, gefolgt von einer Tabelle aller enthaltenen Befunde:

Schweregrad: Die Dringlichkeit des Befunds
Art des Problems: Die CWE-Klassifikation
Datei & Zeile: Der betroffene Dateipfad und die Zeilennummer
Beschreibung: Eine verkürzte Beschreibung des Befunds
Status: Der aktuelle Triage-Status des Befunds
Link: Ein View-Link zum vollständigen Issue in Corgea

Das PDF fasst außerdem die Anzahlen für Open, Fixed, Accepted Risk, In Progress und Duplicate zusammen und zeigt den Status jedes Befunds in der Tabelle. Die Schweregrad- und Statuszahlen umfassen alle passenden Befunde, auch wenn die Tabelle auf 5.000 begrenzt ist. Befunde sind nach Schweregrad sortiert, von Kritisch bis Niedrig.

Limits

PDF-Berichte sind auf 5.000 Befunde begrenzt. Bei mehr Treffern enthält der Bericht zuerst die schwerwiegendsten Befunde, und der Dialog zeigt die Gesamtzahl an. Für größere Datenmengen verwenden Sie CSV (standardmäßig bis zu 150.000 Zeilen) oder SARIF (bis zu 25.000 Befunde). Wenn keine Befunde den Filtern entsprechen, können Sie dennoch einen Bericht erstellen, der den Scan und den ausgewählten Umfang als Auditnachweis dokumentiert. Generierte Berichte sind eine Stunde verfügbar. Danach läuft der Download-Link ab und Sie müssen den Bericht neu erstellen.

Die Scanbericht-API unterstützt für abgeschlossene Scans ebenfalls PDF-Ausgaben mit optionalen Filtern für Dringlichkeit und Klassifizierung. Andere Report-Filter werden abgelehnt. Berichte mit mehr als 500 Befunden liefern 202 und eine poll_url mit dem Parameter job. Fragen Sie denselben Endpunkt mit format=pdf&job=<job_id> ab, bis das PDF bereit ist. Die CLI erzeugt keine PDF-Ausgabe.

Abhängigkeitsexporte

Die Tabs Container und Dependencies verwenden dieselbe Schaltfläche Export über den Scan-Ergebnissen und bieten CSV als Format an. Prüfen oder bearbeiten Sie die übernommenen Filter vor dem Export. Diese Paketexporte enthalten alle passenden Befunde.

Zum Anzeigen von Abhängigkeiten, Herunterladen von SBOM-Dateien und Exportieren von Dependency-CSVs benötigen Sie die Berechtigung View SCA Issue. Den vollständigen Workflow finden Sie unter Software Composition Analysis.

Findings CSV

Wählen Sie CSV, um Abhängigkeitsbefunde passend zur Suche und den im Dialog bestätigten Filtern zu exportieren, einschließlich Ökosystem, Erreichbarkeit, Abhängigkeitstyp und Kritikalität. CSV-Exporte aus dem Tab Container enthalten Container-Befunde; Exporte aus Dependencies enthalten Abhängigkeitsbefunde. Beide enthalten lesbare Befundstatus und berücksichtigen die ausgewählte Suche und die Filter.

Ergebnisse auf der Registerkarte Abhängigkeiten in CSV exportieren

SBOM

Project Dependencies öffnet einen Dialog mit allen für den Scan aufgelösten Abhängigkeiten, unabhängig davon, ob sie eine Schwachstelle enthalten.

Klicken Sie im Dialog auf Export SBOM, um eine Software Bill of Materials im Format CycloneDX 1.5 für den Scan herunterzuladen. Wenn der Scan ein abgeschlossenes Abhängigkeitsinventar, aber keine gespeicherte SBOM-Datei hat, erzeugt Corgea den Download bei Bedarf aus diesem Inventar.

Schaltfläche SBOM exportieren im Modal für Projektabhängigkeiten

Abdeckungsgrad der Abhängigkeiten

Wenn die Abhängigkeitsabdeckung für Ihre Organisation aktiviert ist, zeigt die Dependencies-Registerkarte auch ein Dependency Coverage-Panel mit einer Export coverage-Schaltfläche. Diese CSV-Datei berichtet, welche Manifeste Corgea analysiert hat und welche Abhängigkeiten nicht aufgelöst werden konnten, was nützlich ist, um zu bestätigen, dass ein Scan alles abgedeckt hat, was Sie erwartet haben. Das Coverage-Panel und sein Export sind spezifisch für die Dependencies-Registerkarte. Die Container-Registerkarte bietet nur die Findings-CSV.

Integrationsvorteile

SARIF-Integrationsvorteile

Tool-Kompatibilität: SARIF-Dateien können von verschiedenen Sicherheitstools, IDEs und CI/CD-Systemen genutzt werden
GitHub-Integration: GitHub unterstützt SARIF nativ für Sicherheitswarnungen und Code-Scans
Standardisiertes Format: Branchenübliches Format gewährleistet die Kompatibilität über verschiedene Plattformen hinweg
Umfangreiche Metadaten: Beinhaltet detaillierte Standortinformationen, Schweregrade und Anleitungen zur Behebung

Beim Export aus der Code Quality-Ansicht folgt der SARIF-Export denselben gefilterten Bereichseinstellungen und enthält nur Code Quality-Ergebnisse, die Ihrer aktuellen Auswahl entsprechen.

Anwendungsfälle

CI/CD-Pipeline-Integration: Automatische Verarbeitung von SARIF-Berichten in Ihrer Build-Pipeline
Integration in Sicherheits-Dashboards: Import von Ergebnissen in zentrale Sicherheitsmanagement-Plattformen
Compliance-Berichterstattung: Erstellung standardisierter Berichte für Sicherheitsprüfungen und Compliance-Anforderungen
Entwickler-Workflow: Integration mit IDEs, die SARIF für Inline-Sicherheitsfeedback unterstützen

Best Practices

Regelmäßige Exporte: Richten Sie regelmäßige Exporte ein, um Sicherheitsverbesserungen im Laufe der Zeit zu verfolgen
Versionskontrolle: Speichern Sie exportierte Berichte zusammen mit Ihrem Code für die historische Nachverfolgung
Automatisierte Verarbeitung: Verwenden Sie SARIF-Exporte in automatisierten Workflows für kontinuierliche Sicherheitsüberwachung
Tool-Integration: Nutzen Sie die SARIF-Kompatibilität für Ihre vorhandene Security-Toolchain

Technische Spezifikationen

SARIF-Version

Corgea-Exporte verwenden SARIF Version 2.1.0 und gewährleisten so die Kompatibilität mit den neuesten Tools und Plattformen.

Hinweise zur Dateigröße

Große Projekte können umfangreiche SARIF-Dateien erzeugen. Erwägen Sie das Filtern von Ergebnissen oder den Export bestimmter Schwachstellentypen für sehr große Codebasen.

Schema-Validierung

Alle exportierten SARIF-Dateien entsprechen dem offiziellen SARIF-2.1.0-JSON-Schema und können von kompatiblen Tools zuverlässig verarbeitet werden.

Erste Schritte

Kernfunktionen

Integrationen

Werkzeuge & Hilfsprogramme

Versionshinweise

Vertrauen & Compliance

Authentifizierung

Übersicht

Exportformate

SARIF-Export

So exportieren Sie in SARIF

SARIF-Berichtsstruktur

SCA-Befunde in SARIF

Beispiel-SARIF-Bericht

CSV-Export

Beispiel CSV-Bericht

PDF-Export

So exportieren Sie als PDF

Was enthalten ist

Berichtsinhalt

Limits

Abhängigkeitsexporte

Findings CSV

SBOM

Abdeckungsgrad der Abhängigkeiten

Integrationsvorteile

SARIF-Integrationsvorteile

Anwendungsfälle

Best Practices

Technische Spezifikationen

SARIF-Version

Hinweise zur Dateigröße

Schema-Validierung

​Übersicht

​Exportformate

​SARIF-Export

​So exportieren Sie in SARIF

​SARIF-Berichtsstruktur

​SCA-Befunde in SARIF

​Beispiel-SARIF-Bericht

​CSV-Export

​Beispiel CSV-Bericht

​PDF-Export

​So exportieren Sie als PDF

​Was enthalten ist

​Berichtsinhalt

​Limits

​Abhängigkeitsexporte

​Findings CSV

​SBOM

​Abdeckungsgrad der Abhängigkeiten

​Integrationsvorteile

​SARIF-Integrationsvorteile

​Anwendungsfälle

​Best Practices

​Technische Spezifikationen

​SARIF-Version

​Hinweise zur Dateigröße

​Schema-Validierung

Übersicht

Exportformate

SARIF-Export

So exportieren Sie in SARIF

SARIF-Berichtsstruktur

SCA-Befunde in SARIF

Beispiel-SARIF-Bericht

CSV-Export

Beispiel CSV-Bericht

PDF-Export

So exportieren Sie als PDF

Was enthalten ist

Berichtsinhalt

Limits

Abhängigkeitsexporte

Findings CSV

SBOM

Abdeckungsgrad der Abhängigkeiten

Integrationsvorteile

SARIF-Integrationsvorteile

Anwendungsfälle

Best Practices

Technische Spezifikationen

SARIF-Version

Hinweise zur Dateigröße

Schema-Validierung