Issue-Export

​

Übersicht

​

Exportformate

​

SARIF-Export

​

So exportieren Sie in SARIF

1

Einen abgeschlossenen Scan öffnen

Gehen Sie zur Seite mit den Scan-Ergebnissen Ihres Projekts, auf der Sie alle erkannten Sicherheitsprobleme sehen können.

2

Das Export-Menü öffnen

Öffnen Sie das Exportmenü über das Download-Symbol am Ende der Filterleiste über der Problemliste. Das Menü erscheint auf den Registerkarten SAST, Logic & Auth, Secret und Code Quality.

3

Export zu SARIF auswählen

Wählen Sie Export to SARIF, um die Security-Befunde im SARIF-Format herunterzuladen. Der Export berücksichtigt die aktuell auf die Issue-Liste angewendeten Filter.

​

SARIF-Berichtsstruktur

• Toolinformationen: Details zu Corgea als Scan-Tool
• Regeln: Definitionen von Sicherheitslücken, einschließlich CWE-Klassifikationen, einer numerischen security-severity-Punktzahl und Hilfetext
• Ergebnisse: Einzelne Sicherheitsbefunde mit Standorten, Beschreibungen und Metadaten
• Code Flows: Source-to-Sink-Traces einschließlich Propagation-Schritten, sofern Datenflusskontext für den Befund vorliegt
• Taxonomien: Projekt-Tags und geltende Code Blocking Rules für die Richtlinienauswertung in CI/CD

{
  "id": "CWE-89",
  "name": "SQL Injection",
  "shortDescription": {
    "text": "SQL Injection"
  },
  "fullDescription": {
    "text": "CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')"
  },
  "helpUri": "https://cwe.mitre.org/data/definitions/89.html",
  "help": {
    "text": "CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')\n\nUser-controlled input is concatenated into a SQL query without parameterization.",
    "markdown": "## SQL Injection\n\nUser-controlled input is concatenated into a SQL query without parameterization."
  },
  "defaultConfiguration": {
    "level": "warning"
  },
  "properties": {
    "security-severity": "5.0",
    "tags": ["security", "corgea", "sast", "CWE-89", "python"]
  }
}

​

Beispiel-SARIF-Bericht

• SQL-Injection (CWE-89)
• OS Command Injection (CWE-78)
• Cross-Site-Scripting (CWE-79)
• Path Traversal (CWE-22)
• Deserialisierung von nicht vertrauenswürdigen Daten (CWE-502)
• Server-Side Request Forgery (CWE-918)
• Und andere häufige Sicherheitslücken

​

CSV-Export

• Erstellung benutzerdefinierter Berichte und Dashboards
• Import in Business-Intelligence-Tools
• Weitergabe der Befunde an Stakeholder, die tabellarische Daten bevorzugen
• Durchführung von Massenanalysen in Tabellenkalkulationsprogrammen

• Issue-ID und Scan-ID zur Nachverfolgung
• Projektname und Klassifizierungsdetails
• Schwachstellentyp (CWE-Klassifizierung) und Dringlichkeitsstufe
• Dateispeicherort, Zeilennummer und Programmiersprache
• Problembeschreibung und Schweregradbewertungen
• E-Mail und Name des Zuständigen, wenn ein Problem zugewiesen ist

​

Beispiel CSV-Bericht

• Issue ID: Eindeutige Kennung für jeden Sicherheitsbefund
• Scan ID: Bezeichner, der Befunde einem bestimmten Scan-Lauf zuordnet
• Project Name: Name des gescannten Projekts
• Classification ID: CWE-Bezeichner (z. B. CWE-89 für SQL-Injection)
• Issue Classification: Lesbarer Name der Schwachstelle
• Urgency: Prioritätsstufe (CR=Critical, HI=High, ME=Medium)
• File: Pfad zur betroffenen Quellcodedatei
• Line Number: Zeile, in der das Issue erkannt wurde
• Language: Programmiersprache der betroffenen Datei
• Assignee Email: E-Mail-Adresse der zuständigen Person, sofern verfügbar
• Assignee Name: Name der zuständigen Person, sofern verfügbar

​

PDF-Export

​

So exportieren Sie als PDF

1

Das Export-Menü öffnen

Öffnen Sie auf der Scan-Detailseite das Exportmenü und wählen Sie Export as PDF. Die Option ist in den Tabs SAST, Logic & Auth und Secret verfügbar.

2

Wählen, was eingeschlossen werden soll

Filtern Sie die Befunde nach Issue types und Urgency. Standardmäßig sind alle Issue-Typen und Dringlichkeitsstufen ausgewählt. Findings to export wird beim Ändern der Filter aktualisiert und zeigt die Anzahl der Befunde im Bericht.

3

Bericht generieren

Klicken Sie auf Generate PDF. Corgea erstellt den Bericht im Hintergrund und zeigt den Fortschritt an. Sobald die Datei bereit ist, startet der Download automatisch. Der Dateiname lautet corgea_scan_<scan_id>_findings.pdf.

​

Was enthalten ist

• False Positives, unabhängig davon, ob das Issue als False Positive markiert oder mit dieser Begründung zurückgestellt wurde
• Code-Quality-Befunde; daher ist der PDF-Export im Tab Code Quality nicht verfügbar

​

Berichtsinhalt

• Organisation: Name Ihrer Corgea-Organisation
• Repository: Die Repository-URL oder der Projektname, wenn keine URL verfügbar ist
• Branch und Commit: Der gescannte Branch und die Commit-SHA
• Scan-Datum: Wann der Scan abgeschlossen wurde
• Gesamtanzahl der Befunde: Die Anzahl der Befunde im Bericht
• Exportiert: Wann der Bericht erstellt wurde

• Schweregrad: Die Dringlichkeit des Befunds
• Art des Problems: Die CWE-Klassifikation
• Datei & Zeile: Der betroffene Dateipfad und die Zeilennummer
• Beschreibung: Eine verkürzte Beschreibung des Befunds
• Link: Ein Open-Link zum vollständigen Issue in Corgea

​

Limits

​

Abhängigkeitsexporte

​

Findings CSV

​

SBOM

​

Abdeckungsgrad der Abhängigkeiten

​

Integrationsvorteile

​

SARIF-Integrationsvorteile

• Tool-Kompatibilität: SARIF-Dateien können von verschiedenen Sicherheitstools, IDEs und CI/CD-Systemen genutzt werden
• GitHub-Integration: GitHub unterstützt SARIF nativ für Sicherheitswarnungen und Code-Scans
• Standardisiertes Format: Branchenübliches Format gewährleistet die Kompatibilität über verschiedene Plattformen hinweg
• Umfangreiche Metadaten: Beinhaltet detaillierte Standortinformationen, Schweregrade und Anleitungen zur Behebung

​

Anwendungsfälle

• CI/CD-Pipeline-Integration: Automatische Verarbeitung von SARIF-Berichten in Ihrer Build-Pipeline
• Integration in Sicherheits-Dashboards: Import von Ergebnissen in zentrale Sicherheitsmanagement-Plattformen
• Compliance-Berichterstattung: Erstellung standardisierter Berichte für Sicherheitsprüfungen und Compliance-Anforderungen
• Entwickler-Workflow: Integration mit IDEs, die SARIF für Inline-Sicherheitsfeedback unterstützen

​

Best Practices

• Regelmäßige Exporte: Richten Sie regelmäßige Exporte ein, um Sicherheitsverbesserungen im Laufe der Zeit zu verfolgen
• Versionskontrolle: Speichern Sie exportierte Berichte zusammen mit Ihrem Code für die historische Nachverfolgung
• Automatisierte Verarbeitung: Verwenden Sie SARIF-Exporte in automatisierten Workflows für kontinuierliche Sicherheitsüberwachung
• Tool-Integration: Nutzen Sie die SARIF-Kompatibilität für Ihre vorhandene Security-Toolchain

​

Technische Spezifikationen

​

SARIF-Version

​

Hinweise zur Dateigröße

​

Schema-Validierung