> ## Documentation Index
> Fetch the complete documentation index at: https://docs.corgea.app/llms.txt
> Use this file to discover all available pages before exploring further.
# Projektmanagement
> Scan-Verhalten eines Projekts mit CWE-Filtern und Regeln zum Ignorieren von Dateien konfigurieren
## Übersicht
Die Projektverwaltung befindet sich im Dashboard des jeweiligen Projekts. Dort passen Sie das Scan-Verhalten an Ihre Codebasis, Compliance-Anforderungen und Team-Workflows an. Sie können irrelevante Dateien und CWEs ausschließen, Richtlinien dokumentieren und die für den sicheren Betrieb Ihrer Anwendung erforderlichen Ansichten aufrufen.
Alle Änderungen gelten für künftige Scans des ausgewählten Branches. Wenn Sie diese Einstellungen erstmals verwenden, beginnen Sie mit den Standardwerten und verfeinern Sie die Filter nach der Auswertung einiger Scan-Berichte.
Zum Ändern der Scan-Einstellungen ist die Berechtigung **Can edit project** erforderlich. Der Dialog **Settings** ist nur für Benutzer mit Bearbeitungszugriff auf das Projekt verfügbar.
## Regeln zum Ignorieren von Dateien
Mit diesen Regeln beschränken Sie Findings auf relevanten Code. Übereinstimmende Dateien werden bei künftigen Scans übersprungen und beim Hinzufügen neuer Issues zum Projekt ignoriert. Corgea schließt gängige Build-Artefakte, Abhängigkeitsverzeichnisse und generierte Dateien bereits aus. In der Regel müssen Sie daher nur projektspezifische Regeln ergänzen.
### Standardausschlüsse
* **Testdateien**: `*_test.*`, `test_*.*`, `*.test.*`, `*.spec.*`, `*__tests__/*`, `*test/*`, `*tests/*`
* **Abhängigkeiten**: `*node_modules/*`, `*python*/site-packages/*`
* **Generierter Code**: `*generated.*`, `*.gen.go`, `*.pb.*`, `*.designer.cs`, `*.d.ts`
* **Build-Artefakte**: `*build/*`, `*dist/*`, `*coverage/*`
* **Konfiguration**: `tsconfig.json`, `webpack.config.js`, `pnpm-lock.yaml`, `*compose*.yml`
* **Andere häufige Ordner**: `*migrations/*`, `*mock/*`, `*mocks/*`, `*fixtures*`, `*tmp/*`, `*log/*`, `*logs/*`
### Eigene Regeln hinzufügen
Klicken Sie im Projektdashboard auf **Settings** und erweitern Sie den Bereich **File Ignore Rules**.
Geben Sie unter **Glob Pattern of files to ignore** ein Glob-Muster für Pfade (`src/tools/`), Verzeichnisse (`**/legacy/**`) oder verschachtelte Dateien (`src/assets/languages/**`) ein. Mit `**/` beginnende Muster finden das Verzeichnis in jeder Tiefe, auch im Repository-Root. Optional können Sie unter **Comment (optional)** den Grund für die Regel mit bis zu 200 Zeichen dokumentieren. Klicken Sie anschließend auf **Add Ignore Rule**. Die neue Regel erscheint mit **Pattern**, **Type**, **Status** und **Comment** in der Tabelle.
Um den Kommentar einer Regel zu bearbeiten, geben Sie das exakte Muster erneut ein. Die Schaltfläche ändert sich zu **Update Ignore Rule**. Beim Speichern aktualisiert Corgea die bestehende Regel, statt ein Duplikat anzulegen. Ein leerer Kommentar lässt den vorhandenen Kommentar unverändert.
Über die Spalte **Actions** können Sie eine Regel mit **Disable** deaktivieren, mit **Enable** erneut aktivieren oder mit **Delete** vollständig löschen. Deaktivierte Regeln bleiben in der Liste, werden bei Scans jedoch nicht angewendet. Die Spalte **Status** zeigt den aktuellen Zustand.
Führen Sie einen Testscan durch, um sicherzustellen, dass das Verhalten Ihren Erwartungen entspricht. Überprüfen Sie diese Liste immer dann, wenn Sie neue generierte Ausgaben oder temporäre Verzeichnisse hinzufügen.
### Wann Regeln hinzugefügt werden sollten
* **Interne Tools**: Skripte oder Hilfsprogramme, die nicht gescannt werden sollen (z. B. interne Deployment-Skripte oder CLI-Helfer).
* **Legacy-Code**: Module, die nicht mehr ausgeliefert, aber zu Referenzzwecken aufbewahrt werden.
* **Anbieter- oder Drittanbieter-Artefakte**: Dateien, die von Hardware-Anbietern oder Partnern bereitgestellt werden, sich nicht ändern und die Sie nicht kontrollieren.
* **Dokumentation oder Inhalte**: Schließen Sie große Dokumentationsordner aus, wenn nur Code relevant ist.
* **Eigene Build-Ausgaben**: Nicht standardmäßige Build-Verzeichnisse aus CI-Prozessen oder lokalen Tests.
Dokumentieren Sie den Grund für jede Regel, damit das Team den Ausschluss bei späteren Reviews nachvollziehen kann.
## CWE-Filter
Mit CWE-Filtern stimmen Sie Corgeas Findings auf das Threat Model Ihres Projekts ab. Sie können Schwachstellenklassen deaktivieren, die durch andere Sicherheitsmaßnahmen abgedeckt oder für Ihren Technologie-Stack nicht relevant sind.
### So konfigurieren Sie Filter
Erweitern Sie im Dialog **Settings** den Bereich **CWE Filters**. Standardmäßig berücksichtigt Corgea alle CWEs.
Geben Sie eine CWE-ID ein, beispielsweise `CWE-79`. Mit **Glob Pattern** können Sie die Regel optional auf bestimmte Dateien oder Verzeichnisse beschränken, etwa `**/tests/**`. Ohne Glob-Muster gilt die Regel für alle Dateien des Projekts. Dokumentieren Sie den Grund optional unter **Comment** und klicken Sie auf **Add CWE Filter**.
Geben Sie eine vorhandene Kombination aus CWE und Glob-Muster erneut ein, um deren Kommentar zu bearbeiten. Die Schaltfläche ändert sich zu **Update CWE Filter** und Corgea aktualisiert den Eintrag, statt ihn zu duplizieren. Ein leerer Kommentar lässt den vorhandenen Kommentar unverändert. Über **Actions** können Sie Filter jederzeit deaktivieren, aktivieren oder löschen.
### Häufige Szenarien
* **Kritische Pfade priorisieren**: Blenden Sie CWEs mit geringer Auswirkung vorübergehend aus, bis Sie Findings mit hohem Schweregrad triagiert haben.
* **Schutz durch das Framework**: Überspringen Sie CWEs, die bereits durch integrierte Härtungsmaßnahmen des Frameworks abgedeckt sind, beispielsweise durch verwaltete Authentifizierungsanbieter.
* **An Compliance anpassen**: Konzentrieren Sie sich auf CWEs, die gegen interne Richtlinien verstoßen, ohne die Scans mit irrelevanten Findings zu überladen.
* **Frühe Entwicklungsphase**: Blenden Sie Fehlalarme vorübergehend aus, aktivieren Sie die Filter jedoch vor dem Release wieder.
> Tipp: Führen Sie regelmäßig Scans mit der vollständigen CWE-Liste aus, damit Regressionen nach Filteränderungen nicht unentdeckt bleiben.
## Projektansichten und -steuerungen
### Scan für einen bestimmten Branch auslösen
Wählen Sie vor dem Start eines Scans oben im Dashboard den gewünschten Branch aus. Corgea scannt dessen neuesten Commit und speichert die Branch-Metadaten, sodass Sie Ergebnisse verschiedener Entwicklungszweige vergleichen können.
Starten Sie den Scan über die Schaltfläche im Seitenkopf. Bei bereits gescannten Projekten heißt sie **New Scan**, andernfalls **Start Scan**.
Die Schaltfläche öffnet ein Menü mit zwei Optionen:
* **Full Scan** führt alle für das Projekt aktivierten Scanner für den ausgewählten Branch aus.
* **Custom Scan** öffnet einen Dialog zur Auswahl der Scanner und – bei richtliniengesteuerten Scannern – der anzuwendenden Richtlinien. Bestätigen Sie mit **Start Custom Scan**. Im Tarif nicht enthaltene Scanner sind mit **Plan Restricted** gekennzeichnet.
Wenn ein Scan für ein Projekt nicht verfügbar ist, wird der Button ausgegraut und mit einem Schloss-Symbol angezeigt. Fahren Sie mit der Maus darüber, um den Grund zu sehen.
### Scan-Protokoll
Das Scan Log erfasst jeden gestarteten Scan einschließlich Status, Dauer, Branch und auslösendem Benutzer. Dort können Sie Scans erneut ausführen, Ergebnisse vergleichen und direkt zu den Findings wechseln, die einen Fehler verursacht haben.
### Filter für Endpoint-Findings
Wenn Sie die Findings-Tabelle eines Scans auf **Endpoint** umstellen, beschränken Sie die Ergebnisse mit **Reachable** auf Issues, die über den Aufrufpfad des Endpunkts erreichbar sind. Der Zustand des Schalters bleibt in der URL erhalten, sodass Sie die gefilterte Ansicht teilen oder als Lesezeichen speichern können.
### Erweiterte Schwachstellensuche
Klicken Sie auf der Projektseite auf **Advanced**, um die Advanced Vulnerability Search zu öffnen und Findings über alle Scan-Läufe hinweg zu durchsuchen. Die Ansicht zeigt Gesamtzahlen und Verteilungen nach Schweregrad. Sie können jedes Projekt aufklappen, um Dateien, CWE-Badges, Dringlichkeit, Erkennungszeit und weiteren Kontext anzuzeigen, ohne die Liste zu verlassen.
* **Filter**: Grenzen Sie Ergebnisse nach Vulnerability Category, Urgency, Confidence, Status, Fix Status, Scan Type, Project, Branch, Richtlinien oder anderen Metadaten ein. Ein vordefinierter oder benutzerdefinierter Date Range ist erforderlich.
* **Hinweis zum Zeitraum**: Wenn Sie eine Suche ohne Zeitraum starten, zeigt die Oberfläche die fehlende Angabe an und deaktiviert die Steuerelemente, bis Sie einen Zeitraum auswählen.
* **Ergebnisse untersuchen**: Klicken Sie auf eine Zeile, um zusätzlichen Kontext im Seitenpanel zu laden. Die aktiven Filter bleiben erhalten, während Sie Nachweise, Hinweise zur Behebung und zugehörige Scan-Details prüfen.
