> ## Documentation Index > Fetch the complete documentation index at: https://docs.corgea.app/llms.txt > Use this file to discover all available pages before exploring further. # Issue-Export > Sicherheitsbefunde in verschiedenen Formaten exportieren, einschließlich SARIF, CSV und PDF ## Übersicht Corgea bietet mehrere Exportoptionen für Security-Befunde und unterstützt damit unterschiedliche Tools und Workflows. Exportieren Sie Scan-Ergebnisse in branchenüblichen Formaten zur weiteren Analyse, für Berichte oder zur Verarbeitung in anderen Security-Tools. ## Exportformate ### SARIF-Export SARIF (Static Analysis Results Interchange Format) ist ein branchenübliches Format zur Darstellung der Ergebnisse statischer Analysetools. Corgea unterstützt den Export von Scan-Ergebnissen im SARIF 2.1.0-Format, wodurch die Integration mit verschiedenen Sicherheitstools und CI/CD-Pipelines erleichtert wird. #### So exportieren Sie in SARIF Gehen Sie zur Seite mit den Scan-Ergebnissen Ihres Projekts, auf der Sie alle erkannten Sicherheitsprobleme sehen können. Öffnen Sie das Exportmenü über das Download-Symbol am Ende der Filterleiste über der Problemliste. Das Menü erscheint auf den Registerkarten **SAST**, **Logic & Auth**, **Secret** und **Code Quality**. Wählen Sie **Export to SARIF**, um die Security-Befunde im SARIF-Format herunterzuladen. Der Export berücksichtigt die aktuell auf die Issue-Liste angewendeten Filter. Option Export zu SARIF im Scan-Export-Menü Das Exportmenü wird erst nach Abschluss eines Scans aktiviert. Während des Scans ist die Download-Schaltfläche deaktiviert und zeigt den Tooltip *Downloads are available after the scan completes*. Deaktivierte Download-Schaltfläche, während ein Scan noch läuft #### SARIF-Berichtsstruktur Der exportierte SARIF-Bericht entspricht der SARIF 2.1.0-Spezifikation und enthält: * **Toolinformationen**: Details zu Corgea als Scan-Tool * **Regeln**: Definitionen von Sicherheitslücken, einschließlich CWE-Klassifikationen, einer numerischen `security-severity`-Punktzahl und Hilfetext * **Ergebnisse**: Einzelne Sicherheitsbefunde mit Standorten, Beschreibungen und Metadaten * **Code Flows**: Source-to-Sink-Traces einschließlich Propagation-Schritten, sofern Datenflusskontext für den Befund vorliegt * **Taxonomien**: Projekt-Tags und geltende Code Blocking Rules für die Richtlinienauswertung in CI/CD Code Flows ermöglichen kompatiblen Tools, den Pfad nicht vertrauenswürdiger Eingaben durch die Anwendung darzustellen. Jeder Schritt ist als `source`, `propagation` oder `sink` gekennzeichnet. Befunde ohne verfügbaren Datenflusskontext werden weiterhin mit primärer Position und Beschreibung exportiert. Jedes Ergebnis wird über die Taxonomie `corgea_project_tags` den Tags des gescannten Projekts zugeordnet. Ergebnisse, die gegen eine aktive Code Blocking Rule verstoßen, werden über `corgea_pr_policies` zusätzlich dieser Regel zugeordnet. CI/CD-Plattformen mit Unterstützung für SARIF-Taxonomien können dadurch Richtlinienverstöße erkennen und Builds blockieren. Taxonomien für Blocking Rules werden nur einbezogen, wenn die exportierende Person Blocking Rules anzeigen darf. Jede Sicherheitsregel im SARIF-Bericht umfasst: ```json theme={null} { "id": "CWE-89", "name": "SQL Injection", "shortDescription": { "text": "SQL Injection" }, "fullDescription": { "text": "CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')" }, "helpUri": "https://cwe.mitre.org/data/definitions/89.html", "help": { "text": "CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')\n\nUser-controlled input is concatenated into a SQL query without parameterization.", "markdown": "## SQL Injection\n\nUser-controlled input is concatenated into a SQL query without parameterization." }, "defaultConfiguration": { "level": "warning" }, "properties": { "security-severity": "5.0", "tags": ["security", "corgea", "sast", "CWE-89", "python"] } } ``` Die Werte `level` und `security-severity` werden aus der Dringlichkeit des Befunds abgeleitet: Critical und High werden `error`, Medium wird `warning`, Low und Informational werden `note` zugeordnet. #### Beispiel-SARIF-Bericht Sie können hier einen vollständigen SARIF-Beispielbericht einsehen: [Sample SARIF Report](/samples/corgea_a45fca2d-3684-4586-951e-d8181e78df19.sarif) Das Beispiel enthält 27 Befunde über 14 Regeln hinweg, einschließlich: * SQL-Injection (CWE-89) * OS Command Injection (CWE-78) * Cross-Site-Scripting (CWE-79) * Path Traversal (CWE-22) * Deserialisierung von nicht vertrauenswürdigen Daten (CWE-502) * Server-Side Request Forgery (CWE-918) * Und andere häufige Sicherheitslücken Zwölf Befunde enthalten einen `codeFlows`-Eintrag. Das Beispiel zeigt damit sowohl Source-to-Sink-Traces als auch Befunde ohne Datenflusskontext. ### CSV-Export Das CSV-Format (Comma-Separated Values) bietet eine einfache, tabellenkalkulationskompatible Exportoption für Ihre Sicherheitsbefunde. Dieses Format ist ideal für: * Erstellung benutzerdefinierter Berichte und Dashboards * Import in Business-Intelligence-Tools * Weitergabe der Befunde an Stakeholder, die tabellarische Daten bevorzugen * Durchführung von Massenanalysen in Tabellenkalkulationsprogrammen Beim Export aus der **Code Quality**-Ansicht wendet Corgea die Code Quality-Filter automatisch an, sodass die CSV die Code Quality-Befunde für die ausgewählten Filter enthält. Beim Export von SCA-Abhängigkeiten enthält die CSV eine **Dependency Type**-Spalte, damit Sie direkte, transitive, Entwicklungs- und optionale Abhängigkeiten unterscheiden können. Der CSV-Export enthält zentrale Informationen zu jedem Security-Befund: * Issue-ID und Scan-ID zur Nachverfolgung * Projektname und Klassifizierungsdetails * Schwachstellentyp (CWE-Klassifizierung) und Dringlichkeitsstufe * Dateispeicherort, Zeilennummer und Programmiersprache * Problembeschreibung und Schweregradbewertungen * E-Mail und Name des Zuständigen, wenn ein Problem zugewiesen ist #### Beispiel CSV-Bericht Sie können hier einen vollständigen Beispiel-CSV-Bericht ansehen: [Sample CSV Report](/samples/corgea_a45fca2d-3684-4586-951e-d8181e78df19.csv) Das CSV-Format enthält diese Spalten: * **Issue ID**: Eindeutige Kennung für jeden Sicherheitsbefund * **Scan ID**: Bezeichner, der Befunde einem bestimmten Scan-Lauf zuordnet * **Project Name**: Name des gescannten Projekts * **Classification ID**: CWE-Bezeichner (z. B. CWE-89 für SQL-Injection) * **Issue Classification**: Lesbarer Name der Schwachstelle * **Urgency**: Prioritätsstufe (CR=Critical, HI=High, ME=Medium) * **File**: Pfad zur betroffenen Quellcodedatei * **Line Number**: Zeile, in der das Issue erkannt wurde * **Language**: Programmiersprache der betroffenen Datei * **Assignee Email**: E-Mail-Adresse der zuständigen Person, sofern verfügbar * **Assignee Name**: Name der zuständigen Person, sofern verfügbar Die Spalten **Assignee Email** und **Assignee Name** sind auch beim Export von Befunden über **Advanced Vulnerability Search** enthalten. ### PDF-Export Der PDF-Export erstellt einen formatierten Bericht im Corgea-Branding, den Sie mit Stakeholdern ohne Corgea-Zugang teilen können. Anders als die für Tools ausgelegten Rohdatenformate SARIF und CSV ist das PDF präsentationsfertig und enthält Deckblatt, Schweregradübersicht und Befundtabelle. #### So exportieren Sie als PDF Öffnen Sie auf der Scan-Detailseite das Exportmenü und wählen Sie **Export as PDF**. Die Option ist in den Tabs **SAST**, **Logic & Auth** und **Secret** verfügbar. Option Export as PDF im Scan-Export-Menü Filtern Sie die Befunde nach **Issue types** und **Urgency**. Standardmäßig sind alle Issue-Typen und Dringlichkeitsstufen ausgewählt. **Findings to export** wird beim Ändern der Filter aktualisiert und zeigt die Anzahl der Befunde im Bericht. Dialog Export as PDF mit Filtern für Issue-Typ und Dringlichkeit Klicken Sie auf **Generate PDF**. Corgea erstellt den Bericht im Hintergrund und zeigt den Fortschritt an. Sobald die Datei bereit ist, startet der Download automatisch. Der Dateiname lautet `corgea_scan__findings.pdf`. Das Exportmenü ist nur aktiviert, nachdem ein Scan abgeschlossen wurde. Solange ein Scan noch läuft, ist die Schaltfläche deaktiviert mit dem Tooltip *Downloads sind verfügbar, nachdem der Scan abgeschlossen ist*. #### Was enthalten ist Der Bericht deckt stets den gesamten Scan ab und enthält SAST-, Logic-&-Auth- und Secret-Befunde, unabhängig davon, in welchem Tab Sie das Exportmenü geöffnet haben. Es gelten ausschließlich die Filter **Issue types** und **Urgency** im Dialog; sie sind von den Filtern auf der Scan-Detailseite unabhängig. Corgea schließt immer Folgendes vom Bericht aus: * **False Positives**, unabhängig davon, ob das Issue als False Positive markiert oder mit dieser Begründung zurückgestellt wurde * **Code-Quality-Befunde**; daher ist der PDF-Export im Tab **Code Quality** nicht verfügbar Befunde werden unabhängig vom Triage-Status aufgenommen. Open, Fixed und Accepted Risk erscheinen somit gleichermaßen im Bericht. #### Berichtsinhalt Das Deckblatt ist mit **Confidential** gekennzeichnet und fasst den Scan zusammen: * **Organisation**: Name Ihrer Corgea-Organisation * **Repository**: Die Repository-URL oder der Projektname, wenn keine URL verfügbar ist * **Branch** und **Commit**: Der gescannte Branch und die Commit-SHA * **Scan-Datum**: Wann der Scan abgeschlossen wurde * **Gesamtanzahl der Befunde**: Die Anzahl der Befunde im Bericht * **Exportiert**: Wann der Bericht erstellt wurde Der folgende Befundabschnitt enthält eine Zusammenfassung der Schweregrade mit den Zählungen für **Kritisch**, **Hoch**, **Mittel** und **Niedrig**, gefolgt von einer Tabelle aller enthaltenen Befunde: * **Schweregrad**: Die Dringlichkeit des Befunds * **Art des Problems**: Die CWE-Klassifikation * **Datei & Zeile**: Der betroffene Dateipfad und die Zeilennummer * **Beschreibung**: Eine verkürzte Beschreibung des Befunds * **Link**: Ein **Open**-Link zum vollständigen Issue in Corgea Befunde sind nach Schweregrad sortiert, von Kritisch bis Niedrig. #### Limits PDF-Berichte sind auf 5.000 Befunde begrenzt. Stimmen mehr Befunde mit den Filtern überein, nimmt Corgea zuerst die Befunde mit dem höchsten Schweregrad auf und zeigt im Dialog die Gesamtzahl der Treffer an. Verwenden Sie für größere Datensätze CSV oder SARIF; diese Exporte sind auf 25.000 Befunde begrenzt. **Generate PDF** ist deaktiviert, wenn keine Befunde den Filtern entsprechen. Generierte Berichte sind eine Stunde verfügbar. Danach läuft der Download-Link ab und Sie müssen den Bericht neu erstellen. Der PDF-Export ist nur in der Corgea-Webanwendung verfügbar. Die Scanbericht-API und die CLI erzeugen keine PDF-Ausgabe, daher verwenden Sie SARIF für automatisierte Reporting-Workflows. ### Abhängigkeitsexporte Die Tabs **Container** und **Dependencies** verfügen über eigene Exportfunktionen statt des beschriebenen SARIF-, CSV- und PDF-Menüs, da sie Pakete und keine Code-Befunde auflisten. Zum Anzeigen von Abhängigkeiten, Herunterladen von SBOM-Dateien und Exportieren von Dependency-CSVs benötigen Sie die Berechtigung **View SCA Issue**. Den vollständigen Workflow finden Sie unter [Software Composition Analysis](/de/sca). #### Findings CSV Das Download-Symbol am Ende der Filterzeile exportiert die Abhängigkeitsfunde, die Ihrer aktuellen Suche und den Filtern entsprechen, einschließlich der Auswahl von Ökosystem, Erreichbarkeit, Abhängigkeitstyp und Kritikalität. Ergebnisse auf der Registerkarte Abhängigkeiten in CSV exportieren #### SBOM **Project Dependencies** öffnet einen Dialog mit allen für den Scan aufgelösten Abhängigkeiten, unabhängig davon, ob sie eine Schwachstelle enthalten. Schaltfläche Projektabhängigkeiten auf der Registerkarte Abhängigkeiten Klicken Sie im Dialog auf **Export SBOM**, um eine Software Bill of Materials für den Scan herunterzuladen. Schaltfläche SBOM exportieren im Modal für Projektabhängigkeiten #### Abdeckungsgrad der Abhängigkeiten Wenn die Abhängigkeitsabdeckung für Ihre Organisation aktiviert ist, zeigt die **Dependencies**-Registerkarte auch ein **Dependency Coverage**-Panel mit einer **Export coverage**-Schaltfläche. Diese CSV-Datei berichtet, welche Manifeste Corgea analysiert hat und welche Abhängigkeiten nicht aufgelöst werden konnten, was nützlich ist, um zu bestätigen, dass ein Scan alles abgedeckt hat, was Sie erwartet haben. Das Coverage-Panel und sein Export sind spezifisch für die **Dependencies**-Registerkarte. Die **Container**-Registerkarte bietet nur die Findings-CSV. ## Integrationsvorteile ### SARIF-Integrationsvorteile * **Tool-Kompatibilität**: SARIF-Dateien können von verschiedenen Sicherheitstools, IDEs und CI/CD-Systemen genutzt werden * **GitHub-Integration**: GitHub unterstützt SARIF nativ für Sicherheitswarnungen und Code-Scans * **Standardisiertes Format**: Branchenübliches Format gewährleistet die Kompatibilität über verschiedene Plattformen hinweg * **Umfangreiche Metadaten**: Beinhaltet detaillierte Standortinformationen, Schweregrade und Anleitungen zur Behebung Beim Export aus der **Code Quality**-Ansicht folgt der SARIF-Export denselben gefilterten Bereichseinstellungen und enthält nur Code Quality-Ergebnisse, die Ihrer aktuellen Auswahl entsprechen. ### Anwendungsfälle * **CI/CD-Pipeline-Integration**: Automatische Verarbeitung von SARIF-Berichten in Ihrer Build-Pipeline * **Integration in Sicherheits-Dashboards**: Import von Ergebnissen in zentrale Sicherheitsmanagement-Plattformen * **Compliance-Berichterstattung**: Erstellung standardisierter Berichte für Sicherheitsprüfungen und Compliance-Anforderungen * **Entwickler-Workflow**: Integration mit IDEs, die SARIF für Inline-Sicherheitsfeedback unterstützen ## Best Practices * **Regelmäßige Exporte**: Richten Sie regelmäßige Exporte ein, um Sicherheitsverbesserungen im Laufe der Zeit zu verfolgen * **Versionskontrolle**: Speichern Sie exportierte Berichte zusammen mit Ihrem Code für die historische Nachverfolgung * **Automatisierte Verarbeitung**: Verwenden Sie SARIF-Exporte in automatisierten Workflows für kontinuierliche Sicherheitsüberwachung * **Tool-Integration**: Nutzen Sie die SARIF-Kompatibilität für Ihre vorhandene Security-Toolchain ## Technische Spezifikationen ### SARIF-Version Corgea-Exporte verwenden SARIF Version 2.1.0 und gewährleisten so die Kompatibilität mit den neuesten Tools und Plattformen. ### Hinweise zur Dateigröße Große Projekte können umfangreiche SARIF-Dateien erzeugen. Erwägen Sie das Filtern von Ergebnissen oder den Export bestimmter Schwachstellentypen für sehr große Codebasen. ### Schema-Validierung Alle exportierten SARIF-Dateien entsprechen dem offiziellen SARIF-2.1.0-JSON-Schema und können von kompatiblen Tools zuverlässig verarbeitet werden.