Übersicht
Die Projektverwaltung befindet sich im Dashboard des jeweiligen Projekts. Dort passen Sie das Scan-Verhalten an Ihre Codebasis, Compliance-Anforderungen und Team-Workflows an. Sie können irrelevante Dateien und CWEs ausschließen, Richtlinien dokumentieren und die für den sicheren Betrieb Ihrer Anwendung erforderlichen Ansichten aufrufen. Alle Änderungen gelten für künftige Scans des ausgewählten Branches. Wenn Sie diese Einstellungen erstmals verwenden, beginnen Sie mit den Standardwerten und verfeinern Sie die Filter nach der Auswertung einiger Scan-Berichte.Zum Ändern der Scan-Einstellungen ist die Berechtigung Can edit project erforderlich. Der Dialog Settings ist nur für Benutzer mit Bearbeitungszugriff auf das Projekt verfügbar.
Regeln zum Ignorieren von Dateien
Mit diesen Regeln beschränken Sie Findings auf relevanten Code. Übereinstimmende Dateien werden bei künftigen Scans übersprungen und beim Hinzufügen neuer Issues zum Projekt ignoriert. Corgea schließt gängige Build-Artefakte, Abhängigkeitsverzeichnisse und generierte Dateien bereits aus. In der Regel müssen Sie daher nur projektspezifische Regeln ergänzen.Standardausschlüsse
- Testdateien:
*_test.*,test_*.*,*.test.*,*.spec.*,*__tests__/*,*test/*,*tests/* - Abhängigkeiten:
*node_modules/*,*python*/site-packages/* - Generierter Code:
*generated.*,*.gen.go,*.pb.*,*.designer.cs,*.d.ts - Build-Artefakte:
*build/*,*dist/*,*coverage/* - Konfiguration:
tsconfig.json,webpack.config.js,pnpm-lock.yaml,*compose*.yml - Andere häufige Ordner:
*migrations/*,*mock/*,*mocks/*,*fixtures*,*tmp/*,*log/*,*logs/*
Eigene Regeln hinzufügen
1
Einstellungsdialog öffnen
Klicken Sie im Projektdashboard auf Settings und erweitern Sie den Bereich File Ignore Rules.
2
Muster hinzufügen
Geben Sie unter Glob Pattern of files to ignore ein Glob-Muster für Pfade (
src/tools/), Verzeichnisse (**/legacy/**) oder verschachtelte Dateien (src/assets/languages/**) ein. Mit **/ beginnende Muster finden das Verzeichnis in jeder Tiefe, auch im Repository-Root. Optional können Sie unter Comment (optional) den Grund für die Regel mit bis zu 200 Zeichen dokumentieren. Klicken Sie anschließend auf Add Ignore Rule. Die neue Regel erscheint mit Pattern, Type, Status und Comment in der Tabelle.3
Kommentar einer Regel aktualisieren
Um den Kommentar einer Regel zu bearbeiten, geben Sie das exakte Muster erneut ein. Die Schaltfläche ändert sich zu Update Ignore Rule. Beim Speichern aktualisiert Corgea die bestehende Regel, statt ein Duplikat anzulegen. Ein leerer Kommentar lässt den vorhandenen Kommentar unverändert.
4
Regeln aktivieren, deaktivieren oder löschen
Über die Spalte Actions können Sie eine Regel mit Disable deaktivieren, mit Enable erneut aktivieren oder mit Delete vollständig löschen. Deaktivierte Regeln bleiben in der Liste, werden bei Scans jedoch nicht angewendet. Die Spalte Status zeigt den aktuellen Zustand.
5
Überprüfen
Führen Sie einen Testscan durch, um sicherzustellen, dass das Verhalten Ihren Erwartungen entspricht. Überprüfen Sie diese Liste immer dann, wenn Sie neue generierte Ausgaben oder temporäre Verzeichnisse hinzufügen.
Wann Regeln hinzugefügt werden sollten
- Interne Tools: Skripte oder Hilfsprogramme, die nicht gescannt werden sollen (z. B. interne Deployment-Skripte oder CLI-Helfer).
- Legacy-Code: Module, die nicht mehr ausgeliefert, aber zu Referenzzwecken aufbewahrt werden.
- Anbieter- oder Drittanbieter-Artefakte: Dateien, die von Hardware-Anbietern oder Partnern bereitgestellt werden, sich nicht ändern und die Sie nicht kontrollieren.
- Dokumentation oder Inhalte: Schließen Sie große Dokumentationsordner aus, wenn nur Code relevant ist.
- Eigene Build-Ausgaben: Nicht standardmäßige Build-Verzeichnisse aus CI-Prozessen oder lokalen Tests.
CWE-Filter
Mit CWE-Filtern stimmen Sie Corgeas Findings auf das Threat Model Ihres Projekts ab. Sie können Schwachstellenklassen deaktivieren, die durch andere Sicherheitsmaßnahmen abgedeckt oder für Ihren Technologie-Stack nicht relevant sind.So konfigurieren Sie Filter
1
CWE Filters öffnen
Erweitern Sie im Dialog Settings den Bereich CWE Filters. Standardmäßig berücksichtigt Corgea alle CWEs.
2
Wählen Sie die CWEs aus, die Sie ignorieren möchten
Geben Sie eine CWE-ID ein, beispielsweise 
CWE-79. Mit Glob Pattern können Sie die Regel optional auf bestimmte Dateien oder Verzeichnisse beschränken, etwa **/tests/**. Ohne Glob-Muster gilt die Regel für alle Dateien des Projekts. Dokumentieren Sie den Grund optional unter Comment und klicken Sie auf Add CWE Filter.3
Filter aktualisieren, deaktivieren oder löschen
Geben Sie eine vorhandene Kombination aus CWE und Glob-Muster erneut ein, um deren Kommentar zu bearbeiten. Die Schaltfläche ändert sich zu Update CWE Filter und Corgea aktualisiert den Eintrag, statt ihn zu duplizieren. Ein leerer Kommentar lässt den vorhandenen Kommentar unverändert. Über Actions können Sie Filter jederzeit deaktivieren, aktivieren oder löschen.
Häufige Szenarien
- Kritische Pfade priorisieren: Blenden Sie CWEs mit geringer Auswirkung vorübergehend aus, bis Sie Findings mit hohem Schweregrad triagiert haben.
- Schutz durch das Framework: Überspringen Sie CWEs, die bereits durch integrierte Härtungsmaßnahmen des Frameworks abgedeckt sind, beispielsweise durch verwaltete Authentifizierungsanbieter.
- An Compliance anpassen: Konzentrieren Sie sich auf CWEs, die gegen interne Richtlinien verstoßen, ohne die Scans mit irrelevanten Findings zu überladen.
- Frühe Entwicklungsphase: Blenden Sie Fehlalarme vorübergehend aus, aktivieren Sie die Filter jedoch vor dem Release wieder.
Tipp: Führen Sie regelmäßig Scans mit der vollständigen CWE-Liste aus, damit Regressionen nach Filteränderungen nicht unentdeckt bleiben.
Projektansichten und -steuerungen
Scan für einen bestimmten Branch auslösen
Wählen Sie vor dem Start eines Scans oben im Dashboard den gewünschten Branch aus. Corgea scannt dessen neuesten Commit und speichert die Branch-Metadaten, sodass Sie Ergebnisse verschiedener Entwicklungszweige vergleichen können.
- Full Scan führt alle für das Projekt aktivierten Scanner für den ausgewählten Branch aus.
- Custom Scan öffnet einen Dialog zur Auswahl der Scanner und – bei richtliniengesteuerten Scannern – der anzuwendenden Richtlinien. Bestätigen Sie mit Start Custom Scan. Im Tarif nicht enthaltene Scanner sind mit Plan Restricted gekennzeichnet.
Wenn ein Scan für ein Projekt nicht verfügbar ist, wird der Button ausgegraut und mit einem Schloss-Symbol angezeigt. Fahren Sie mit der Maus darüber, um den Grund zu sehen.
Scan-Protokoll
Das Scan Log erfasst jeden gestarteten Scan einschließlich Status, Dauer, Branch und auslösendem Benutzer. Dort können Sie Scans erneut ausführen, Ergebnisse vergleichen und direkt zu den Findings wechseln, die einen Fehler verursacht haben.
Filter für Endpoint-Findings
Wenn Sie die Findings-Tabelle eines Scans auf Endpoint umstellen, beschränken Sie die Ergebnisse mit Reachable auf Issues, die über den Aufrufpfad des Endpunkts erreichbar sind. Der Zustand des Schalters bleibt in der URL erhalten, sodass Sie die gefilterte Ansicht teilen oder als Lesezeichen speichern können.Erweiterte Schwachstellensuche
Klicken Sie auf der Projektseite auf Advanced, um die Advanced Vulnerability Search zu öffnen und Findings über alle Scan-Läufe hinweg zu durchsuchen. Die Ansicht zeigt Gesamtzahlen und Verteilungen nach Schweregrad. Sie können jedes Projekt aufklappen, um Dateien, CWE-Badges, Dringlichkeit, Erkennungszeit und weiteren Kontext anzuzeigen, ohne die Liste zu verlassen.- Filter: Grenzen Sie Ergebnisse nach Vulnerability Category, Urgency, Confidence, Status, Fix Status, Scan Type, Project, Branch, Richtlinien oder anderen Metadaten ein. Ein vordefinierter oder benutzerdefinierter Date Range ist erforderlich.
- Hinweis zum Zeitraum: Wenn Sie eine Suche ohne Zeitraum starten, zeigt die Oberfläche die fehlende Angabe an und deaktiviert die Steuerelemente, bis Sie einen Zeitraum auswählen.
- Ergebnisse untersuchen: Klicken Sie auf eine Zeile, um zusätzlichen Kontext im Seitenpanel zu laden. Die aktiven Filter bleiben erhalten, während Sie Nachweise, Hinweise zur Behebung und zugehörige Scan-Details prüfen.
