Vulnerabilities Workbench

​

Descripción general

La página Vulnerabilities ofrece una vista a nivel de organización de los hallazgos de seguridad abiertos. Úsala para revisar hallazgos entre proyectos, investigar detalles, exportar resultados y aplicar decisiones de priorización sin abrir cada escaneo por separado. Los hallazgos se separan en estas pestañas:

• Secrets
• SAST
• Logic & Auth
• SCA Packages
• Containers
• IaC

Cada pestaña solo está disponible cuando tienes permiso para ver ese tipo de hallazgo. La insignia de una pestaña muestra su recuento de hallazgos abiertos sin filtrar. Los recuentos de 1.000 o más se abrevian (por ejemplo, 1.8K). Si el Workbench muestra Almost ready, Corgea lo está preparando para tu organización. Los recuentos de hallazgos, las listas, las exportaciones y la selección masiva no están disponibles hasta que finalice la preparación.

​

Buscar y revisar hallazgos

Selecciona una pestaña y luego expande sus grupos y proyectos para llegar a los hallazgos individuales. La agrupación se adapta a cada tipo de hallazgo; por ejemplo, los hallazgos SCA comienzan con paquetes, los de contenedores con imágenes y los de IaC con reglas. Los recuentos de 1.000 o más se abrevian (por ejemplo, 24.6K). Señala un recuento abreviado para ver el número exacto. Las filas de proyecto incluyen un icono que abre la página del proyecto en una pestaña nueva. Usa Previous, Next y los números de página, cuando aparezcan, para recorrer los resultados agrupados. Cada lista muestra el intervalo de filas actual y un total cuando Corgea lo tiene. Usa los controles de estado para cambiar entre Open, Fixed, False Positive y los demás estados disponibles para ese tipo de hallazgo. Haz clic en el icono de filtro para mostrar los filtros de gravedad, proyecto, equipo y etiquetas. Un número en el icono indica cuántos de esos filtros están activos mientras la fila está oculta. Ocultar la fila no los quita. Al seleccionar varias etiquetas, se muestran los hallazgos de proyectos que tienen cualquiera de las etiquetas seleccionadas. La coincidencia distingue mayúsculas y minúsculas y debe coincidir exactamente con la etiqueta de proyecto almacenada. SCA Packages añade un filtro de alcanzabilidad en la barra principal. En Secrets, SAST, Logic & Auth e IaC, la búsqueda por ruta de archivo requiere un filtro Project explícito. Expandir un grupo de proyecto no activa por sí solo la búsqueda por ruta. Sin ese filtro, la búsqueda encuentra subtipos de secretos, CWE o reglas de IaC, según la pestaña. El mismo alcance de búsqueda se aplica a los recuentos de grupos, las exportaciones y las selecciones masivas. Usa el filtro Team en cualquier pestaña para mostrar hallazgos de proyectos pertenecientes al equipo seleccionado que tienes permiso para ver. Al combinarlo con un filtro de proyecto, solo se muestran los proyectos que coinciden con ambos filtros. El filtro de equipo también se aplica al expandir grupos, exportar resultados filtrados y seleccionar todos los hallazgos que coinciden con los filtros actuales. Selecciona un hallazgo para abrir el mismo panel de detalles que se usa en las páginas de escaneo. Cuando hay razonamiento del triaje automático, el panel lo muestra en la pestaña Auto-Triage, seleccionada de forma predeterminada, junto a la pestaña Files Read, que enumera los archivos leídos durante el escaneo. Desde ahí puedes revisar la evidencia, asignarlo y cambiar su estado con Current Status. Open Full View, cuando aparece, abre la página completa del hallazgo. La barra de direcciones conserva el hallazgo seleccionado, así que volver a abrir ese enlace restaura el panel si el hallazgo sigue en los resultados actuales. Se requiere un comentario al cambiar una disposición, y debe explicar la decisión en lugar de repetirla; consulta Justificaciones de triaje. Al marcar un hallazgo admitido como riesgo aceptado, también puedes elegir cuándo expira. Cuando un escaneo incremental vuelve a comprobar un hallazgo SAST anterior, solo lo incorpora a los nuevos resultados si confirma que sigue presente. Un hallazgo no confirmado permanece en el escaneo anterior; su ausencia en los nuevos resultados no significa por sí sola que se haya corregido. Los hallazgos solo se marcan como corregidos en la rama principal, cuando los cambios de código confirman su eliminación. Los hallazgos SAST que se conservan de un análisis anterior durante un análisis incremental mantienen su estado de triaje, justificación, persona asignada, fecha límite y fecha de expiración del riesgo aceptado. Conservar un hallazgo no restablece ni elimina su fecha límite ni su fecha de expiración. Cuando Corgea reconoce un hallazgo en una ubicación corregida, puede conservar una decisión de triaje existente sin sustituir una decisión ya tomada sobre el nuevo hallazgo. En escaneos incrementales de ramas, un hallazgo coincidente en un archivo sin cambios también puede heredar la decisión anterior; los hallazgos en archivos modificados en ese escaneo permanecen abiertos para su revisión. El historial del hallazgo registra Decision carried over from the finding’s previous location, con la ubicación anterior y la fecha de la decisión original cuando están disponibles. Los hallazgos de SCA y contenedores muestran en ese panel los detalles del paquete y el historial, además de la alcanzabilidad cuando está disponible. Si tu empresa exige aprobación de triaje para False positive o Accepted risk, cambiar un hallazgo de Secrets, SAST, Logic & Auth o SCA Packages a esa disposición crea una solicitud y deja el hallazgo sin cambios. Containers e IaC cambian de inmediato. Otra persona autorizada puede aprobar o rechazar una solicitud desde la cola de aprobaciones o los detalles del hallazgo. Quien crea una solicitud puede retirar sus propias solicitudes pendientes. Los hallazgos pendientes de revisión muestran una insignia Pending approval junto a su estado actual en el Workbench y en los grupos de hallazgos expandidos de las páginas de escaneos.

​

Exportar hallazgos

Haz clic en Export para descargar un CSV con los hallazgos que coinciden con la pestaña activa, el estado, la búsqueda y los filtros. La exportación incluye la última aparición de cada hallazgo y está limitada a 25.000 filas. Para exportar solo hallazgos concretos, selecciónalos y haz clic en Export selection en la barra de acciones.

​

Priorizar hallazgos en masa

Selecciona hallazgos individuales o un grupo expandido. También puedes elegir Select all findings matching the current filters después de hacer una selección inicial. La barra de acciones masivas te permite:

• Asignar hallazgos a un miembro del equipo
• Cambiar la selección a otro estado que admita la pestaña activa, incluido reabrir un hallazgo o aceptar un riesgo
• Exportar la selección

Haz clic en Change status, elige una Decision y añade un comentario que explique el cambio. El menú muestra los estados de esa pestaña excepto el que ya estás viendo. Para Accepted Risk, define Expiry Date (Optional) en un momento futuro o déjalo vacío para que la aceptación no venza. Pasada esa fecha, el hallazgo vuelve a Open y Corgea envía una notificación. Los hallazgos de IaC no tienen fecha de vencimiento. Si tu empresa exige aprobación, un cambio masivo a False positive o Accepted Risk en Secrets, SAST, Logic & Auth o SCA Packages se envía para aprobación, y esos hallazgos conservan su estado hasta que se apruebe. Containers e IaC cambian de inmediato. Quien puede aprobar solicitudes de triaje aplica el cambio de inmediato en cualquier pestaña. Los cambios de estado masivos requieren un comentario y se les aplica el mismo requisito de justificación: un comentario que solo repite la decisión se rechaza y no se cambia ningún estado. La barra de acciones resume el número de hallazgos, proyectos y equipos seleccionados, e indica los hallazgos omitidos. Una selección masiva puede contener hasta 1.000 hallazgos.