Exportación de hallazgos

​

Resumen

​

Formatos de exportación

​

Exportación SARIF

​

Cómo exportar a SARIF

1

Abrir un escaneo completado

Ve a la página de resultados de escaneo de tu proyecto, donde puedes ver todos los problemas de seguridad detectados.

2

Abrir el menú de exportación

Abre el menú de exportación desde el icono de descarga al final de la fila del filtro encima de la lista de problemas. El menú aparece en las pestañas SAST, Lógica y Autenticación, Secreto y Calidad del Código.

3

Seleccionar exportar a SARIF

Elige Exportar a SARIF para descargar tus hallazgos de seguridad en formato SARIF. La exportación honra los filtros actualmente aplicados a la lista de problemas.

​

Estructura del Informe SARIF

• Información de la herramienta: Detalles sobre Corgea como herramienta de escaneo
• Reglas: Definiciones de vulnerabilidades de seguridad, incluyendo clasificaciones CWE, un número security-severity puntuación y texto de ayuda
• Resultados: Hallazgos individuales de seguridad con ubicaciones, descripciones y metadatos
• Flujos de código: Trazas de origen a sumidero, incluyendo pasos de propagación, cuando el contexto del flujo está disponible para un hallazgo
• Taxonomías: Etiquetas de proyecto y reglas de bloqueo de código aplicables para la evaluación de políticas CI/CD

{
  "id": "CWE-89",
  "name": "SQL Injection",
  "shortDescription": {
    "text": "SQL Injection"
  },
  "fullDescription": {
    "text": "CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')"
  },
  "helpUri": "https://cwe.mitre.org/data/definitions/89.html",
  "help": {
    "text": "CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')\n\nUser-controlled input is concatenated into a SQL query without parameterization.",
    "markdown": "## SQL Injection\n\nUser-controlled input is concatenated into a SQL query without parameterization."
  },
  "defaultConfiguration": {
    "level": "warning"
  },
  "properties": {
    "security-severity": "5.0",
    "tags": ["security", "corgea", "sast", "CWE-89", "python"]
  }
}

​

Ejemplo de Informe SARIF

• Inyección SQL (CWE-89)
• Inyección de comandos del sistema operativo (CWE-78)
• Guiones entre sitios (CWE-79)
• Recorrido de Trayectoria (CWE-22)
• Deserialización de Datos No Confiables (CWE-502)
• Falsificación de solicitudes en el servidor (CWE-918)
• Y otras vulnerabilidades de seguridad comunes

​

Exportación de CSV

• Creación de informes y paneles personalizados
• Importación en herramientas de inteligencia empresarial
• Compartiendo resultados con los grupos de interés que prefieren datos tabulares
• Realización de análisis masivo en aplicaciones de hojas de cálculo

• ID de incidencia e ID de escaneo para seguimiento
• Nombre del proyecto y detalles de clasificación
• Tipo de vulnerabilidad (clasificación CWE) y nivel de urgencia
• Ubicación del archivo, número de línea y lenguaje de programación
• Descripción del problema y calificaciones de gravedad
• Correo electrónico y nombre del asignado, cuando se asigna un problema

​

Ejemplo de Informe CSV

• ID del hallazgo: Identificador único de cada hallazgo de seguridad
• ID de escaneo: Identificador que vincula los hallazgos a ejecuciones específicas de escaneo
• Nombre del proyecto: Nombre del proyecto escaneado
• ID de clasificación: identificador CWE (por ejemplo, CWE-89 para inyección SQL)
• Clasificación de problema: Nombre de vulnerabilidad legible por humanos
• Urgencia: Nivel de prioridad (CR=Crítico, HI=Alto, ME=Medio)
• Archivo: Ruta al archivo del código fuente afectado
• Número de línea: Línea específica donde se detectó el problema
• Lenguaje: Lenguaje de programación del archivo afectado
• Correo electrónico asignado: Dirección de correo electrónico del usuario asignado, cuando esté disponible
• Nombre del asignado: Nombre del usuario asignado, cuando esté disponible

​

Exportación en PDF

​

Cómo exportar a PDF

1

Abrir el menú de exportación

En la página de detalles del escaneo, abre el menú de exportación y selecciona Exportar como PDF. La opción aparece en las pestañas SAST, Lógica & Autenticación y Secreto.

2

Elige qué incluir

Filtra los hallazgos por Tipos de problemas y Urgencia. Todos los tipos de problemas y urgencias se seleccionan por defecto. Los hallazgos para exportar se actualizan a medida que cambias los filtros para poder ver cuántos hallazgos contendrá el informe.

3

Generar el informe

Haz clic en Generar PDF. Corgea construye el informe en segundo plano y muestra su progreso, luego la descarga comienza automáticamente una vez que el archivo está listo. El archivo se llama corgea_scan_<scan_id>_findings.pdf.

​

Lo que incluye

• Falsos positivos, tanto si el hallazgo está marcado como falso positivo como si está en pausa por ese motivo
• Hallazgos de calidad de código, por eso la exportación en PDF no se ofrece en la pestaña de Calidad de Código

​

Índice del informe

• Organización: Nombre de tu organización en Corgea
• Repositorio: La URL del repositorio, o el nombre del proyecto cuando no hay URL disponible
• Rama y Commit: La rama y el SHA del commit escaneado
• Fecha del escaneo: Cuándo se completó el escaneo
• Hallazgos totales: El número de hallazgos en el informe
• Exportado: Fecha de generación del informe

• Gravedad: La urgencia del hallazgo
• Tipo de problema: La clasificación CWE
• Archivo y línea: La ruta de archivo y número de línea afectados
• Descripción: Una descripción abreviada del hallazgo
• Enlace: Un enlace Abrir que lleva al hallazgo completo en Corgea

​

Límites

​

Exportaciones de dependencia

​

Hallazgos CSV

​

SBOM

​

Cobertura de dependencias

​

Beneficios de la integración

​

Ventajas de la integración de SARIF

• Compatibilidad de herramientas: Los archivos SARIF pueden ser consumidos por diversas herramientas de seguridad, IDEs y sistemas CI/CD
• Integración con GitHub: GitHub admite SARIF de forma nativa para alertas de seguridad y escaneo de código
• Formato estandarizado: El formato estándar de la industria garantiza compatibilidad entre diferentes plataformas
• Metadatos detallados: Incluye ubicaciones, niveles de gravedad y recomendaciones de remediación

​

Casos de uso

• Integración en el pipeline de CI/CD: Procesa automáticamente los informes SARIF durante la compilación
• Integración con paneles de seguridad: Importa los hallazgos en plataformas centralizadas de gestión
• Informes de cumplimiento: Genera informes normalizados para auditorías y requisitos normativos
• Flujo de trabajo de desarrollo: Integra los hallazgos en IDE compatibles con SARIF

​

Mejores prácticas

• Exportaciones periódicas: Programa exportaciones para seguir la evolución de la seguridad
• Control de versiones: Almacena los informes exportados junto a tu código para el seguimiento histórico
• Procesamiento automatizado: Utiliza exportaciones SARIF en flujos automatizados para supervisar la seguridad de forma continua
• Integración de herramientas: Aprovecha la compatibilidad con SARIF para integrarte con tu cadena de herramientas de seguridad existente

​

Especificaciones técnicas

​

Versión SARIF

​

Consideraciones sobre el tamaño del archivo

​

Validación de esquemas