Chargement des scans

Deux options sont disponibles : Corgea Dropsite et la CLI Corgea.

Prérequis Vous disposez d’un compte CorgeaScanner SAST Vous disposez d’un scanner SAST tel que Checkmarx, CodeQL, Semgrep, Fortify, Coverity ou Snyk. Corgea prend actuellement en charge ces scanners ; Veracode et SonarQube sont prévus dans la roadmap.

Corgea Dropsite

Corgea Dropsite est une interface web qui permet d’ajouter facilement un projet à Corgea afin de l’analyser. Elle offre plusieurs moyens de charger votre code et les rapports de différents scanners de sécurité. Dropsite accepte des fichiers jusqu’à 1 Go. Pour les projets plus volumineux, utilisez la CLI Corgea.

Ajouter un projet

Pour ajouter un projet à Corgea, suivez ces étapes : Accédez à la page Dropsite en cliquant sur le bouton « Ajouter un projet » dans la page Corgea Projects ou la page Scans.

Sur la page Dropsite, vous verrez plusieurs options pour ajouter votre projet :

Connectez votre dépôt (recommandé)

Cette option vous permet de connecter directement votre dépôt de code à Corgea via une intégration de contrôle de version configurée, incluant GitHub, GitLab, Azure DevOps, Bitbucket ou Harness. Cliquez sur l’intégration de contrôle de version appropriée pour autoriser Corgea à accéder à vos dépôts. Sélectionnez le dépôt que vous souhaitez ajouter à Corgea.

Ajouter un dépôt public

Si votre dépôt est public, indiquez son URL pour l’ajouter à Corgea. Sélectionnez l’onglet Public Repo. Saisissez l’URL de votre dépôt public dans le champ. Cliquez sur Add.

Chargement web

Cette option permet de charger un fichier ZIP contenant le code du projet. Sélectionnez l’onglet Web Upload, puis chargez le fichier ZIP contenant le code. Après l’envoi du ZIP, confirmez le Project name, qui correspond par défaut au nom du fichier sans .zip. Le nom doit être non vide, comporter au maximum 255 caractères et ne contenir aucune barre oblique. Corgea recherche un projet existant sans tenir compte de la casse : si vous y avez accès, l’envoi y ajoute un nouveau scan ; sinon, choisissez un autre nom. Les connexions aux dépôts ignorent cette étape. Relancer le scan d’un projet importé conserve le même projet.

Étape Name your project avec un projet existant reconnu sans tenir compte de la casse

Étape Name your project indiquant que le nom est déjà utilisé par un projet auquel vous n’avez pas accès

Lorsqu’un téléversement web crée un nouveau projet et que vous disposez de l’autorisation Modify Project Tags, une étape Tags apparaît après le nom du projet. Choisissez des étiquettes existantes ou saisissez-en de nouvelles avant de configurer l’analyse. Les étiquettes sont facultatives et s’appliquent aussi bien aux analyses Corgea qu’aux rapports d’autres scanners téléversés. Les téléversements vers un projet existant conservent ses étiquettes ; les connexions aux dépôts ignorent cette étape.

Étape Tags de l’import web avec des tags existants ajoutés au nouveau projet

Pour réduire la taille du fichier et accélérer le traitement, excluez les bibliothèques tierces et les artefacts de build, par exemple node_modules, vendor et dist. Vous pouvez pour cela télécharger directement une archive ZIP depuis votre dépôt.

Le chargement web est limité à 1 Go par fichier. Pour les projets plus volumineux, utilisez la CLI Corgea.

Après avoir ajouté le projet, choisissez Scan with Corgea ou Upload a scanner report à l’étape Choose how to scan. Pour charger le rapport d’un scanner de sécurité pris en charge, sélectionnez Upload a scanner report.

Étape Choose how to scan avec Scan with Corgea sélectionné et le bouton Start scan

Chargement d’un rapport

Option Upload a scanner report avec les outils pris en charge et une zone de dépôt pour le fichier de rapport

Charger le rapport

Sélectionnez le fichier du rapport, généralement au format JSON, sur votre machine, puis déposez-le dans la zone de chargement.

Corgea prend en charge les rapports Checkmarx (JSON), CodeQL (JSON), Snyk (SARIF), Semgrep (JSON), Fortify (FPR) et Coverity (XML).

Traitement

Une fois le rapport chargé, Corgea traite le projet et le rapport.

Voir les résultats

Une fois le traitement terminé, sélectionnez View scans pour consulter les résultats ou Add another project pour commencer un nouvel envoi.

Ces étapes permettent d’ajouter votre projet et de charger des rapports de sécurité dans Corgea pour analyse et remédiation.

Corgea CLI

La CLI Corgea offre des fonctionnalités avancées pour intégrer Corgea à votre pipeline CI/CD, exécuter des scans personnalisés et charger des projets volumineux (> 1 Go). Consultez la page CLI pour savoir comment l’installer et l’utiliser. Vous pouvez installer la CLI Corgea avec pip :

pip install corgea-cli

En savoir plus sur la CLI

Charger avec la CLI

Aller au dépôt

Allez dans le dépôt que vous souhaitez scanner :

cd <<Respository Name>>

Exécuter le scan

corgea scan semgrep

corgea scan snyk

corgea upload report.json --project-name my-service

# Create a scan with a JSON output for example:
cx scan create --project-name juice-shop -s . --branch master --scan-types sast --report-format json --output-name report

#Upload the vulnerability report to Corgea
corgea upload report.json

corgea upload <scan report in json>

corgea upload <scan report in FPR>

corgea upload <scan report in XML>

Exécutez ces commandes depuis la racine du dépôt. À partir de la CLI 1.14.0, corgea upload inclut automatiquement les fichiers de politiques corgea.yaml et corgea.yml du répertoire courant et de ses sous-répertoires, même si le rapport ne les mentionne pas. À partir de la CLI 1.14.2, la CLI peut aussi localiser les fichiers source lorsqu’un rapport indique un répertoire de base différent, par exemple le chemin d’un agent de compilation. Voir CLI.

Voir les résultats

Une fois le scan terminé, un rapport de scan sera généré dans le dossier du dépôt et une copie sera envoyée à Corgea pour traitement.

Consulter les correctifs

Selon le nombre de résultats, leur affichage peut prendre un certain temps. Comptez environ 10 minutes pour quelques centaines de résultats.Consultez les correctifs pour en savoir plus.

Dépannage

Commande non trouvée

Cette erreur se produit lorsque la CLI Corgea n’est pas installée ou que son exécutable ne figure pas dans votre PATH.

bash: corgea: command not found

Suivez les instructions de la section d’installation de la CLI.

Token non valide

Vérifiez que vous avez connecté la CLI avec le bon token depuis Settings → Automation → API token

Non connecté

Une erreur peut indiquer que vous n’êtes pas connecté à votre outil SAST/SCA.Certains outils exigent de vous connecter pour utiliser l’outil. Par exemple, vous pouvez vous connecter à Semgrep avec la commande suivante :

  semgrep login

Échec de git show

Une erreur peut indiquer que la commande git show n’a pas pu s’exécuter.Le message fournit les causes possibles et les étapes de diagnostic :

  Command failed with output:
  fatal: not a git repository (or any of the parent directories): .git


  Failed to run 'git show -s --format=%B'. Possible reasons:

  - the git binary is not available
  - the current working directory is not a git repository
  - the current working directory is not marked as safe
      (fix with `git config --global --add safe.directory $(pwd)`)

  Try running the command yourself to debug the issue.
  Could not start scan Command failed with exit code: 128

Bien démarrer

Fonctionnalités principales

Intégrations

Outils et utilitaires

Versions

Confiance et conformité

Authentification

Corgea Dropsite

Ajouter un projet

Connectez votre dépôt (recommandé)

Ajouter un dépôt public

Chargement web

Chargement d’un rapport

Corgea CLI

Charger avec la CLI

Dépannage

​Corgea Dropsite

​Ajouter un projet

​Connectez votre dépôt (recommandé)

​Ajouter un dépôt public

​Chargement web

​Chargement d’un rapport

​Corgea CLI

​Charger avec la CLI

​Dépannage

Corgea Dropsite

Ajouter un projet

Connectez votre dépôt (recommandé)

Ajouter un dépôt public

Chargement web

Chargement d’un rapport

Corgea CLI

Charger avec la CLI

Dépannage