Exportación de hallazgos

Resumen

Corgea ofrece múltiples opciones de exportación para tus hallazgos de seguridad, permitiéndote integrarte con diversas herramientas y flujos de trabajo. Puedes exportar los resultados de escaneo en formatos estándar del sector para un análisis adicional, informes o integración con otras herramientas de seguridad. En las pestañas SAST, Logic & Auth, Secrets y Code Quality, las exportaciones CSV y los hallazgos de código de una exportación SARIF siguen esa pestaña y los filtros confirmados en el diálogo de exportación, que parten de los filtros actuales de la pestaña, incluido New Issues. Con New Issues activado, esos hallazgos de código incluyen solo los que el escaneo acaba de introducir. Si no hay ninguno, la parte de código de la exportación queda vacía. Un archivo SARIF sigue incluyendo los hallazgos de dependencias y contenedores del escaneo en una ejecución aparte, y esa ejecución no sigue la pestaña ni New Issues.

Formatos de exportación

Exportación SARIF

SARIF (Formato de Intercambio de Resultados de Análisis Estático) es un estándar del sector para representar la salida de herramientas de análisis estático. Corgea permite exportar resultados de escaneo en formato SARIF 2.1.0, lo que facilita la integración con distintas herramientas de seguridad y pipelines de CI/CD.

Cómo exportar a SARIF

Abrir un escaneo completado

Ve a la página de resultados de escaneo de tu proyecto, donde puedes ver todos los problemas de seguridad detectados.

Abrir el diálogo de exportación

Haz clic en Export encima de los resultados del escaneo. El diálogo sigue la pestaña activa: SAST, Logic & Auth, Secrets o Code Quality.

Seleccionar SARIF

Elige SARIF, revisa o edita los filtros copiados de la página de escaneo y haz clic en Export. Los hallazgos de código siguen los filtros confirmados en este diálogo.

SARIF seleccionado en el diálogo de exportación del escaneo

El botón Export solo se activa después de completar un escaneo. Mientras el escaneo sigue en marcha, el botón está deshabilitado con la descripción emergente Las descargas están disponibles después de que termine el escaneo.

Estructura del Informe SARIF

El informe SARIF exportado sigue la especificación SARIF 2.1.0 e incluye:

Información de la herramienta: Detalles sobre Corgea como herramienta de escaneo
Reglas: Definiciones de vulnerabilidades de seguridad, incluyendo clasificaciones CWE, un número security-severity puntuación y texto de ayuda
Resultados: Hallazgos individuales de seguridad con ubicaciones, descripciones y metadatos
Flujos de código: Trazas de origen a sumidero, incluyendo pasos de propagación, cuando el contexto del flujo está disponible para un hallazgo
Taxonomías: Etiquetas de proyecto y reglas de bloqueo de código aplicables para la evaluación de políticas CI/CD

Los flujos de código ayudan a que las herramientas compatibles muestren el camino que sigue la entrada no confiable a través de la aplicación. Cada paso está etiquetado source, propagation, o sink. Los hallazgos sin contexto de flujo disponible siguen incluyéndose con su ubicación y descripción principales. Cada resultado se asigna a las etiquetas del proyecto escaneado mediante la taxonomía corgea_project_tags. Los resultados que infringen una regla activa de bloqueo de código también se asignan a esa regla mediante la taxonomía corgea_pr_policies. Así, las plataformas de CI/CD compatibles con taxonomías SARIF pueden identificar infracciones de políticas y crear controles. Las taxonomías de reglas de bloqueo solo se incluyen si la persona que exporta el informe tiene permiso para ver dichas reglas. Cada norma de seguridad en el informe SARIF incluye:

{
  "id": "CWE-89",
  "name": "SQL Injection",
  "shortDescription": {
    "text": "SQL Injection"
  },
  "fullDescription": {
    "text": "CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')"
  },
  "helpUri": "https://cwe.mitre.org/data/definitions/89.html",
  "help": {
    "text": "CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')\n\nUser-controlled input is concatenated into a SQL query without parameterization.",
    "markdown": "## SQL Injection\n\nUser-controlled input is concatenated into a SQL query without parameterization."
  },
  "defaultConfiguration": {
    "level": "warning"
  },
  "properties": {
    "security-severity": "5.0",
    "tags": ["security", "corgea", "sast", "CWE-89", "python"]
  }
}

Los valores de level y security-severity se derivan de la urgencia del hallazgo: crítico y alto se asignan a error, medio a warning, y bajo e informativo a note.

Hallazgos SCA en SARIF

Si tienes el permiso View SCA Issue, la exportación incluye una segunda ejecución SARIF llamada Corgea SCA junto a los hallazgos de código. No hay que solicitarla aparte: la ejecución SCA viaja en el mismo archivo que descargas desde las pestañas SAST, Logic & Auth, Secrets o Code Quality. La ejecución contiene los hallazgos activos de dependencias y contenedores del escaneo. Se excluyen los hallazgos corregidos, los falsos positivos y los riesgos aceptados. Cada resultado registra el paquete, la versión, el ecosistema, la puntuación CVSS, la versión corregida, el tipo de dependencia, la alcanzabilidad y las licencias como propiedades SARIF, y se ubica en el manifiesto o el archivo de bloqueo que declara la dependencia, no en una línea de tu propio código. Los hallazgos de dependencias no incluyen flujos de código: las trazas de origen a sumidero solo se aplican a los hallazgos de código. La ejecución SCA declara su propia categoría de análisis, corgea/sca/, de modo que plataformas como GitHub Code Scanning siguen los resultados de código y de dependencias como conjuntos de alertas independientes. La ejecución se incluye incluso cuando un escaneo no tiene hallazgos SCA, lo que permite a esas plataformas resolver las alertas notificadas por escaneos anteriores. Las reglas de bloqueo SCA aplicables se asignan mediante la misma taxonomía corgea_pr_policies que las reglas de código, y solo se incluyen si también tienes permiso para ver las reglas de bloqueo.

Ejemplo de Informe SARIF

Puedes consultar un informe completo de SARIF aquí: Ejemplo de Informe SARIF La muestra contiene 27 hallazgos distribuidos en 14 reglas, entre ellas:

Inyección SQL (CWE-89)
Inyección de comandos del sistema operativo (CWE-78)
Guiones entre sitios (CWE-79)
Recorrido de Trayectoria (CWE-22)
Deserialización de Datos No Confiables (CWE-502)
Falsificación de solicitudes en el servidor (CWE-918)
Y otras vulnerabilidades de seguridad comunes

Doce de los hallazgos llevan un codeFlows Entrada, así que la muestra también muestra cómo son las trazas de origen a hueco en la práctica junto con hallazgos que no tienen contexto de flujo.

Exportación de CSV

El formato CSV (Valores Separados por Coma) ofrece una opción de exportación sencilla y compatible con hojas de cálculo para tus hallazgos de seguridad. Este formato es ideal para:

Creación de informes y paneles personalizados
Importación en herramientas de inteligencia empresarial
Compartiendo resultados con los grupos de interés que prefieren datos tabulares
Realización de análisis masivo en aplicaciones de hojas de cálculo

Cuando exportas desde la vista de Calidad de Código, Corgea aplica automáticamente filtros de calidad de código para que el CSV contenga los hallazgos de calidad de código para los filtros seleccionados. Cuando exportas dependencias SCA, el CSV incluye una columna Tipo de Dependencia, así que puedes distinguir dependencias directas, transitivas, de desarrollo y opcionales. La exportación CSV incluye información clave sobre cada hallazgo de valor, tales como:

ID de incidencia e ID de escaneo para seguimiento
Nombre del proyecto y detalles de clasificación
Tipo de vulnerabilidad (clasificación CWE) y nivel de urgencia
Ubicación del archivo, número de línea y lenguaje de programación
Descripción del problema y calificaciones de gravedad
Correo electrónico y nombre del asignado, cuando se asigna un problema
Metadatos del escaneo, formateados como pares key=value separados por punto y coma

Elige CSV en el diálogo de exportación del escaneo, revisa o edita los filtros copiados y haz clic en Export. Las exportaciones CSV admiten hasta 150.000 filas de forma predeterminada; tu despliegue puede establecer otro límite. Las exportaciones se generan en segundo plano: las rápidas se descargan de inmediato y, en las más largas, puedes cerrar el diálogo y recibir una notificación cuando el archivo esté listo. Vuelve a abrir Export para descargar los archivos desde Recent exports durante 24 horas. Las exportaciones que superan el límite se rechazan en lugar de truncarse; reduce el alcance de los filtros e inténtalo de nuevo. Si el diálogo indica que la exportación se genera ahora, mantenlo abierto hasta que termine la descarga. En despliegues sin procesamiento de exportaciones en segundo plano, el diálogo muestra cuánto puede tardar una exportación grande.

Diálogo de exportación de un escaneo con CSV seleccionado y archivos listos en Recent exports

Ejemplo de Informe CSV

Puedes ver aquí un informe CSV completo: Ejemplo de Informe CSV El formato CSV incluye estas columnas:

ID del hallazgo: Identificador único de cada hallazgo de seguridad
ID de escaneo: Identificador que vincula los hallazgos a ejecuciones específicas de escaneo
Nombre del proyecto: Nombre del proyecto escaneado
ID de clasificación: identificador CWE (por ejemplo, CWE-89 para inyección SQL)
Clasificación de problema: Nombre de vulnerabilidad legible por humanos
Urgencia: Nivel de prioridad (CR=Crítico, HI=Alto, ME=Medio)
Archivo: Ruta al archivo del código fuente afectado
Número de línea: Línea específica donde se detectó el problema
Lenguaje: Lenguaje de programación del archivo afectado
Correo electrónico asignado: Dirección de correo electrónico del usuario asignado, cuando esté disponible
Nombre del asignado: Nombre del usuario asignado, cuando esté disponible
Scan Metadata: Metadatos asociados al escaneo, formateados como pares key=value separados por punto y coma

Las exportaciones CSV de la página de escaneo también incluyen una columna Finding Type. En estos hallazgos de código el valor es SAST, Logic & Auth, Secret o Code Quality.

En la página de Búsqueda Avanzada de Vulnerabilidades, los resultados están paginados. La exportación CSV incluye todos los hallazgos que coinciden con los filtros activos, no solo los de la página actual, además de las columnas Correo electrónico del asignado, Nombre del asignado y Scan Metadata.

Exportación en PDF

La exportación en PDF produce un informe personalizado y formateado de los resultados de un escaneo que puedes compartir con los interesados que no usan Corgea. A diferencia de SARIF y CSV, que son formatos de datos en bruto diseñados para herramientas, el PDF es un documento listo para presentación con portada, desglose de gravedad y tabla de resultados.

Cómo exportar a PDF

Abrir el diálogo de exportación

Haz clic en Export en la página de detalles del escaneo, selecciona PDF y haz clic en Export para abrir el diálogo Export as PDF. PDF está disponible en las pestañas SAST, Logic & Auth y Secrets.

Elige qué incluir

Filtra los hallazgos por Tipos de problemas y Urgencia. Todos los tipos de problemas y urgencias se seleccionan por defecto. Los hallazgos para exportar se actualizan a medida que cambias los filtros para poder ver cuántos hallazgos contendrá el informe.

Exportar como PDF modal con filtros de tipo de incidencia y urgencia

Generar el informe

Haz clic en Generar PDF. Corgea construye el informe en segundo plano y muestra su progreso, luego la descarga comienza automáticamente una vez que el archivo está listo. El archivo se llama corgea_scan_<scan_id>_findings.pdf.

El botón Export solo se activa después de completar un escaneo. Mientras el escaneo sigue en marcha, el botón está desactivado con la descripción emergente Las descargas están disponibles tras finalizar el escaneo.

Lo que incluye

El informe siempre abarca todo el escaneo, por lo que incluye hallazgos de SAST, lógica y autenticación, y secretos, con independencia de la pestaña desde la que abras el diálogo de exportación. Solo se aplican los filtros Tipos de incidencia y Urgencia del cuadro de diálogo; son independientes de los filtros de la página de detalles del escaneo. Corgea siempre excluye lo siguiente del informe:

Falsos positivos, tanto si el hallazgo está marcado como falso positivo como si está en pausa por ese motivo
Hallazgos de calidad de código, por eso la exportación en PDF no se ofrece en la pestaña de Calidad de Código

Los resultados se incluyen con independencia de su estado de triaje, por lo que el informe contiene hallazgos abiertos, corregidos y de riesgo aceptado.

Índice del informe

La portada está marcada Confidencial y resume el escaneo:

Organización: Nombre de tu organización en Corgea
Repositorio: La URL del repositorio, o el nombre del proyecto cuando no hay URL disponible
Rama y Commit: La rama y el SHA del commit escaneado
Fecha del escaneo: Cuándo se completó el escaneo
ID del escaneo: El identificador del escaneo
Estado del escaneo: Si el escaneo se completó o está incompleto
Alcance de los hallazgos: Los filtros de tipo de incidencia y urgencia aplicados al informe
Hallazgos totales: El número de hallazgos en el informe
Exportado: Fecha de generación del informe

La sección de resultados contiene un resumen con el recuento de las gravedades Crítico, Alto, Medio y Bajo, seguido de una tabla con todos los hallazgos:

Gravedad: La urgencia del hallazgo
Tipo de problema: La clasificación CWE
Archivo y línea: La ruta de archivo y número de línea afectados
Descripción: Una descripción abreviada del hallazgo
Estado: El estado de triaje actual del hallazgo
Enlace: Un enlace View que lleva al hallazgo completo en Corgea

El PDF también resume los recuentos de Open, Fixed, Accepted Risk, In Progress y Duplicate, e incluye el estado de cada hallazgo en la tabla. Los recuentos por gravedad y estado abarcan todos los hallazgos coincidentes, incluso cuando la tabla se limita a 5.000. Los hallazgos se ordenan por gravedad, desde Crítico hasta Bajo.

Límites

Los informes PDF tienen un límite de 5.000 hallazgos. Si coinciden más, Corgea incluye primero los de mayor gravedad y el diálogo indica el total. Para conjuntos mayores, usa CSV (hasta 150.000 filas de forma predeterminada) o SARIF (hasta 25.000 hallazgos). Si ningún hallazgo coincide con tus filtros, puedes generar igualmente un informe que documente el escaneo y el alcance seleccionado como evidencia de auditoría. Los informes generados están disponibles durante una hora, tras lo cual el enlace de descarga expira y tendrás que generar el informe de nuevo.

La API de informes de escaneo también admite salida PDF para escaneos completados, con filtros opcionales de urgencia y clasificación. El resto de filtros del informe se rechazan. Los informes con más de 500 hallazgos devuelven 202 y una poll_url que incluye el parámetro job; consulta el mismo endpoint con format=pdf&job=<job_id> hasta que el PDF esté listo. La CLI no produce salida PDF.

Exportaciones de dependencia

Las pestañas Container y Dependencies usan el mismo botón Export sobre los resultados, con CSV como formato disponible. Revisa o edita los filtros copiados antes de exportar. Estas exportaciones de paquetes incluyen todos los hallazgos coincidentes.

Para consultar dependencias, descargar archivos SBOM y exportar CSV de dependencias se necesita el permiso Ver problema SCA. Consulta Análisis de composición de software para conocer el flujo de trabajo completo.

Hallazgos CSV

Elige CSV para exportar los hallazgos de dependencias que coincidan con la búsqueda y los filtros confirmados en el diálogo, incluidos ecosistema, alcanzabilidad, tipo de dependencia y criticidad. Las exportaciones CSV de la pestaña Container contienen hallazgos de contenedores; las de Dependencies contienen hallazgos de dependencias. Ambas incluyen estados de hallazgos legibles y respetan la búsqueda y los filtros seleccionados.

Exportar los hallazgos a CSV en la pestaña de Dependencias

SBOM

Dependencias del proyecto abre un modal que lista todas las dependencias que Corgea ha resuelto para el escaneo, tenga o no una vulnerabilidad.

Haz clic en Exportar SBOM en ese modal para descargar una lista de materiales de software en formato CycloneDX 1.5 para el escaneo. Si el escaneo tiene un inventario de dependencias completo pero no un archivo SBOM almacenado, Corgea genera la descarga bajo demanda a partir de ese inventario.

Botón de exportar SBOM en el modal de Dependencias del Proyecto

Cobertura de dependencias

Cuando la cobertura de dependencias está habilitada para tu organización, la pestaña Dependencias también muestra un panel de Cobertura de dependencias con el botón Exportar cobertura. El CSV indica qué manifiestos procesó Corgea y qué dependencias no pudo resolver, lo que permite confirmar el alcance del escaneo. El panel de cobertura y su exportación son específicos de la pestaña Dependencias. La pestaña Contenedor solo ofrece el CSV de los hallazgos.

Beneficios de la integración

Ventajas de la integración de SARIF

Compatibilidad de herramientas: Los archivos SARIF pueden ser consumidos por diversas herramientas de seguridad, IDEs y sistemas CI/CD
Integración con GitHub: GitHub admite SARIF de forma nativa para alertas de seguridad y escaneo de código
Formato estandarizado: El formato estándar de la industria garantiza compatibilidad entre diferentes plataformas
Metadatos detallados: Incluye ubicaciones, niveles de gravedad y recomendaciones de remediación

Al exportar desde la vista de Calidad de Código, la exportación SARIF sigue el mismo filtrado con alcance e incluye solo hallazgos de calidad de código que coinciden con tu selección actual.

Casos de uso

Integración en el pipeline de CI/CD: Procesa automáticamente los informes SARIF durante la compilación
Integración con paneles de seguridad: Importa los hallazgos en plataformas centralizadas de gestión
Informes de cumplimiento: Genera informes normalizados para auditorías y requisitos normativos
Flujo de trabajo de desarrollo: Integra los hallazgos en IDE compatibles con SARIF

Mejores prácticas

Exportaciones periódicas: Programa exportaciones para seguir la evolución de la seguridad
Control de versiones: Almacena los informes exportados junto a tu código para el seguimiento histórico
Procesamiento automatizado: Utiliza exportaciones SARIF en flujos automatizados para supervisar la seguridad de forma continua
Integración de herramientas: Aprovecha la compatibilidad con SARIF para integrarte con tu cadena de herramientas de seguridad existente

Especificaciones técnicas

Versión SARIF

Las exportaciones de Corgea utilizan SARIF versión 2.1.0, garantizando la compatibilidad con las últimas herramientas y plataformas.

Consideraciones sobre el tamaño del archivo

Los grandes proyectos pueden generar archivos SARIF sustanciales. Considera filtrar resultados o exportar tipos específicos de vulnerabilidades para bases de código muy grandes.

Validación de esquemas

Todos los archivos SARIF exportados cumplen con el esquema oficial JSON SARIF 2.1.0, garantizando un análisis fiable por herramientas compatibles.

Primeros pasos

Funciones principales

Integraciones

Herramientas y utilidades

Versiones

Confianza y cumplimiento

Autenticación

Resumen

Formatos de exportación

Exportación SARIF

Cómo exportar a SARIF

Estructura del Informe SARIF

Hallazgos SCA en SARIF

Ejemplo de Informe SARIF

Exportación de CSV

Ejemplo de Informe CSV

Exportación en PDF

Cómo exportar a PDF

Lo que incluye

Índice del informe

Límites

Exportaciones de dependencia

Hallazgos CSV

SBOM

Cobertura de dependencias

Beneficios de la integración

Ventajas de la integración de SARIF

Casos de uso

Mejores prácticas

Especificaciones técnicas

Versión SARIF

Consideraciones sobre el tamaño del archivo

Validación de esquemas

​Resumen

​Formatos de exportación

​Exportación SARIF

​Cómo exportar a SARIF

​Estructura del Informe SARIF

​Hallazgos SCA en SARIF

​Ejemplo de Informe SARIF

​Exportación de CSV

​Ejemplo de Informe CSV

​Exportación en PDF

​Cómo exportar a PDF

​Lo que incluye

​Índice del informe

​Límites

​Exportaciones de dependencia

​Hallazgos CSV

​SBOM

​Cobertura de dependencias

​Beneficios de la integración

​Ventajas de la integración de SARIF

​Casos de uso

​Mejores prácticas

​Especificaciones técnicas

​Versión SARIF

​Consideraciones sobre el tamaño del archivo

​Validación de esquemas

Resumen

Formatos de exportación

Exportación SARIF

Cómo exportar a SARIF

Estructura del Informe SARIF

Hallazgos SCA en SARIF

Ejemplo de Informe SARIF

Exportación de CSV

Ejemplo de Informe CSV

Exportación en PDF

Cómo exportar a PDF

Lo que incluye

Índice del informe

Límites

Exportaciones de dependencia

Hallazgos CSV

SBOM

Cobertura de dependencias

Beneficios de la integración

Ventajas de la integración de SARIF

Casos de uso

Mejores prácticas

Especificaciones técnicas

Versión SARIF

Consideraciones sobre el tamaño del archivo

Validación de esquemas