Vulnerabilities Workbench

​

Überblick

Die Seite Vulnerabilities bietet eine organisationsweite Ansicht offener Sicherheitsbefunde. Nutzen Sie sie, um Befunde über Projekte hinweg zu prüfen, Details zu untersuchen, Ergebnisse zu exportieren und Triage-Entscheidungen zu treffen, ohne jeden Scan einzeln zu öffnen. Die Befunde sind in diese Tabs unterteilt:

• Secrets
• SAST
• Logic & Auth
• SCA Packages
• Containers
• IaC

Jeder Tab ist nur verfügbar, wenn Sie die Berechtigung haben, diesen Befundtyp anzuzeigen. Das Badge auf einem Tab zeigt die ungefilterte Anzahl offener Befunde. Zahlen ab 1.000 werden gekürzt (zum Beispiel 1.8K). Wenn im Workbench Almost ready angezeigt wird, bereitet Corgea ihn für Ihre Organisation vor. Befundzahlen, Listen, Exporte und die Massenauswahl sind erst nach Abschluss der Vorbereitung verfügbar.

​

Befunde finden und prüfen

Wählen Sie einen Tab aus und erweitern Sie dessen Gruppen und Projekte, um zu einzelnen Befunden zu gelangen. Die Gruppierung ist an den jeweiligen Befundtyp angepasst – SCA-Befunde beginnen beispielsweise mit Packages, Container-Befunde mit Images und IaC-Befunde mit Rules. Zahlen ab 1.000 werden gekürzt (zum Beispiel 24.6K). Zeigen Sie auf eine gekürzte Zahl, um den genauen Wert zu sehen. Projektzeilen enthalten ein Symbol, das die Projektseite in einem neuen Tab öffnet. Blättern Sie mit Previous, Next und, sofern angezeigt, Seitenzahlen durch gruppierte Ergebnisse. Jede Liste zeigt den aktuellen Zeilenbereich und eine Gesamtzahl, wenn Corgea sie kennt. Über die Statussteuerung wechseln Sie zwischen Open, Fixed, False Positive und den weiteren Statuswerten, die für diesen Befundtyp verfügbar sind. Klicken Sie auf das Filter-Symbol, um die Filter für Schweregrad, Projekt, Team und Tags anzuzeigen. Eine Zahl auf dem Symbol zeigt, wie viele dieser Filter gesetzt sind, solange die Zeile ausgeblendet ist. Ausblenden lässt die Filter aktiv. Wenn Sie mehrere Tags auswählen, werden Befunde aus Projekten angezeigt, die mindestens einen der ausgewählten Tags besitzen. Der Abgleich unterscheidet zwischen Groß- und Kleinschreibung und muss dem gespeicherten Projekt-Tag genau entsprechen. Der Tab SCA Packages bietet auf der Hauptleiste einen Reachability-Filter. In Secrets, SAST, Logic & Auth und IaC erfordert die Suche nach Dateipfaden einen ausdrücklich gesetzten Project-Filter. Das Aufklappen einer Projektgruppe allein aktiviert die Dateipfadsuche nicht. Ohne diesen Filter sucht Corgea je nach Tab nach Secret-Untertypen, CWEs oder IaC-Regeln. Derselbe Suchumfang gilt für Gruppenzahlen, Exporte und die Massenauswahl. Verwenden Sie den Filter Team in jedem Tab, um Befunde aus Projekten des ausgewählten Teams anzuzeigen, für die Sie eine Anzeigeberechtigung haben. In Kombination mit einem Projektfilter werden nur Projekte angezeigt, die beiden Filtern entsprechen. Der Teamfilter gilt auch beim Erweitern von Gruppen, beim Exportieren gefilterter Ergebnisse und beim Auswählen aller Befunde, die den aktuellen Filtern entsprechen. Wählen Sie einen Befund aus, um denselben Detailbereich wie auf den Scan-Seiten zu öffnen. Liegt eine Begründung der automatischen Triage vor, zeigt der Bereich sie im standardmäßig ausgewählten Tab Auto-Triage; der Tab Files Read listet die beim Scan gelesenen Dateien auf. Dort können Sie die Evidenz prüfen, den Befund zuweisen und seinen Status über Current Status ändern. Open Full View, sofern angezeigt, öffnet die vollständige Befundseite. Die Adresszeile merkt sich den ausgewählten Befund. Denselben Link erneut öffnen stellt den Bereich wieder her, sofern der Befund noch in den aktuellen Ergebnissen liegt. Beim Ändern der Disposition ist ein Kommentar erforderlich, der die Entscheidung begründet und nicht nur wiederholt – siehe Triage-Begründungen. Wenn Sie einen unterstützten Befund als Accepted Risk markieren, können Sie auch das Ablaufdatum festlegen. Prüft ein inkrementeller Scan einen früheren SAST-Befund erneut, übernimmt er ihn nur dann in die neuen Ergebnisse, wenn bestätigt wird, dass er weiterhin vorhanden ist. Ein unbestätigter Befund verbleibt beim früheren Scan; sein Fehlen in den neuen Ergebnissen bedeutet allein nicht, dass er behoben wurde. Als behoben markiert werden Befunde nur auf dem Hauptbranch, wenn die Codeänderungen ihre Entfernung bestätigen. SAST-Befunde, die bei einem inkrementellen Scan aus einem vorherigen Scan übernommen werden, behalten ihren Triage-Status, ihre Begründung, die zugewiesene Person, das Fälligkeitsdatum und das Ablaufdatum der Risikoakzeptanz. Die Übernahme setzt das Fälligkeitsdatum und das Ablaufdatum weder zurück noch entfernt sie es. Wenn Corgea einen Befund an einer korrigierten Position erkennt, kann eine bestehende Triage-Entscheidung übernommen werden, ohne eine bereits am neuen Befund getroffene Entscheidung zu ersetzen. Bei inkrementellen Branch-Scans kann ein entsprechender Befund in einer unveränderten Datei ebenfalls die frühere Entscheidung übernehmen; Befunde in Dateien, die durch diesen Scan geändert wurden, bleiben zur Prüfung offen. Im Befundverlauf erscheint Decision carried over from the finding’s previous location, gegebenenfalls mit der vorherigen Position und dem ursprünglichen Entscheidungsdatum. SCA- und Container-Befunde zeigen in diesem Bereich Paketdetails und den Verlauf sowie, sofern verfügbar, die Erreichbarkeit. Wenn Ihr Unternehmen für False positive oder Accepted risk eine Triage-Freigabe verlangt, erzeugt die Änderung eines Befunds unter Secrets, SAST, Logic & Auth oder SCA Packages eine Anfrage und lässt den Befund unverändert. Containers und IaC ändern sich sofort. Eine andere berechtigte Person kann eine Anfrage in der Freigabewarteschlange oder in den Befunddetails genehmigen oder ablehnen. Antragstellende können eigene offene Anfragen zurückziehen. Befunde, die auf eine Prüfung warten, zeigen im Workbench und in aufgeklappten Befundgruppen auf Scan-Seiten neben ihrem aktuellen Status das Abzeichen Pending approval.

​

Befunde exportieren

Klicken Sie auf Export, um eine CSV-Datei mit den Befunden herunterzuladen, die dem aktiven Tab, Status, der Suche und den Filtern entsprechen. Der Export enthält das jeweils neueste Vorkommen jedes Befunds und ist auf 25.000 Zeilen begrenzt. Um nur bestimmte Befunde zu exportieren, wählen Sie diese aus und klicken Sie in der Aktionsleiste auf Export selection.

​

Befunde in Massen priorisieren

Wählen Sie einzelne Befunde oder eine erweiterte Gruppe aus. Nach einer ersten Auswahl können Sie auch Select all findings matching the current filters wählen. Die Massenaktionsleiste ermöglicht Folgendes:

• Befunde einem Teammitglied zuweisen
• Die Auswahl auf einen anderen Status ändern, den der aktive Tab unterstützt, einschließlich Wiederöffnen und Akzeptieren von Risiken
• Die Auswahl exportieren

Klicken Sie auf Change status, wählen Sie eine Decision und begründen Sie die Änderung in einem Kommentar. Das Menü zeigt die Status dieses Tabs außer dem Status, den Sie gerade ansehen. Bei Accepted Risk setzen Sie Expiry Date (Optional) auf einen zukünftigen Zeitpunkt oder lassen das Feld leer, damit die Akzeptanz nicht abläuft. Danach kehrt der Befund zu Open zurück und Corgea sendet eine Benachrichtigung. IaC-Befunde haben kein Ablaufdatum. Wenn Ihr Unternehmen eine Freigabe verlangt, wird eine Massenänderung zu False positive oder Accepted Risk unter Secrets, SAST, Logic & Auth oder SCA Packages zur Freigabe eingereicht. Diese Befunde behalten ihren Status, bis sie genehmigt werden. Containers und IaC ändern sich sofort. Wer Triage-Anfragen freigeben darf, wendet die Änderung auf jedem Tab sofort an. Massenänderungen des Status erfordern einen Kommentar, für den dieselbe Begründungspflicht gilt: Ein Kommentar, der nur die Entscheidung wiederholt, wird zurückgewiesen und der Status bleibt unverändert. Die Aktionsleiste fasst die Anzahl der ausgewählten Befunde, Projekte und Teams zusammen und meldet übersprungene Befunde. Eine Massenauswahl kann bis zu 1.000 Befunde enthalten.