Vulnerabilities Workbench

​

Vue d’ensemble

La page Vulnerabilities offre une vue à l’échelle de l’organisation des résultats de sécurité ouverts. Utilisez-la pour examiner les résultats entre projets, analyser les détails, exporter les données et appliquer des décisions de triage sans ouvrir chaque scan séparément. Les résultats sont répartis dans ces onglets :

• Secrets
• SAST
• Logic & Auth
• SCA Packages
• Containers
• IaC

Chaque onglet n’est disponible que si vous avez l’autorisation d’afficher ce type de résultat. Le badge d’un onglet indique le nombre de résultats ouverts non filtrés. Les totaux de 1 000 ou plus sont abrégés (par exemple, 1.8K). Si le Workbench affiche Almost ready, Corgea le prépare pour votre organisation. Les nombres de résultats, les listes, les exportations et la sélection en masse sont indisponibles jusqu’à la fin de la préparation.

​

Rechercher et examiner les résultats

Sélectionnez un onglet, puis développez ses groupes et projets pour atteindre les résultats individuels. Le regroupement est adapté à chaque type de résultat : par exemple, les résultats SCA commencent par les packages, les résultats conteneurs par les images et les résultats IaC par les règles. Les totaux de 1 000 ou plus sont abrégés (par exemple, 24.6K). Pointez un total abrégé pour voir le nombre exact. Les lignes de projet comportent une icône qui ouvre la page du projet dans un nouvel onglet. Utilisez Previous, Next et les numéros de page, lorsqu’ils apparaissent, pour parcourir les résultats groupés. Chaque liste affiche la plage de lignes actuelle et un total lorsque Corgea le connaît. Utilisez les contrôles de statut pour basculer entre Open, Fixed, False Positive et les autres statuts disponibles pour ce type de résultat. Cliquez sur l’icône de filtre pour afficher les filtres de sévérité, de projet, d’équipe et de tags. Un nombre sur l’icône indique combien de ces filtres sont actifs tant que la ligne est masquée. Masquer la ligne ne les retire pas. Lorsque vous sélectionnez plusieurs tags, les résultats des projets possédant au moins l’un des tags sélectionnés sont affichés. La correspondance est sensible à la casse et doit correspondre exactement au tag de projet enregistré. SCA Packages ajoute un filtre d’accessibilité sur la barre principale. Dans Secrets, SAST, Logic & Auth et IaC, la recherche par chemin de fichier nécessite un filtre Project explicite. Développer un groupe de projet ne suffit pas à activer cette recherche. Sans ce filtre, la recherche porte sur les sous-types de secrets, les CWE ou les règles IaC, selon l’onglet. Le même périmètre de recherche s’applique aux totaux des groupes, aux exportations et aux sélections en masse. Utilisez le filtre Team dans n’importe quel onglet pour afficher les résultats des projets appartenant à l’équipe sélectionnée que vous avez l’autorisation de consulter. Combiné à un filtre de projet, il affiche uniquement les projets correspondant aux deux filtres. Le filtre d’équipe s’applique également lorsque vous développez des groupes, exportez des résultats filtrés ou sélectionnez tous les résultats correspondant aux filtres actuels. Sélectionnez un résultat pour ouvrir le même panneau de détails que sur les pages de scan. Lorsque le raisonnement du triage automatique est disponible, le panneau l’affiche dans l’onglet Auto-Triage, sélectionné par défaut, à côté de l’onglet Files Read qui liste les fichiers lus pendant le scan. Vous pouvez y examiner les preuves, assigner le résultat et modifier son statut avec Current Status. Open Full View, lorsqu’il est affiché, ouvre la page complète du résultat. La barre d’adresse conserve le résultat sélectionné : rouvrir ce lien rétablit le panneau si le résultat figure encore dans les résultats actuels. Un commentaire est requis lors d’un changement de disposition et doit expliquer la décision plutôt que la répéter — voir Justifications de triage. Lorsque vous marquez un résultat pris en charge comme risque accepté, vous pouvez aussi choisir la date d’expiration. Lorsqu’une analyse incrémentielle revérifie un résultat SAST antérieur, elle ne le reprend dans les nouveaux résultats que si elle confirme qu’il est toujours présent. Un résultat non confirmé reste dans l’analyse précédente ; son absence des nouveaux résultats ne signifie pas à elle seule qu’il a été corrigé. Les résultats ne sont marqués comme corrigés que sur la branche principale, lorsque les modifications du code confirment leur suppression. Les résultats SAST conservés depuis une analyse précédente lors d’une analyse incrémentale gardent leur statut de triage, leur justification, leur responsable, leur date d’échéance et la date d’expiration du risque accepté. Le report d’un résultat ne réinitialise ni ne supprime sa date d’échéance ni sa date d’expiration. Lorsque Corgea reconnaît un problème à un emplacement corrigé, une décision de triage existante peut être reprise sans remplacer une décision déjà prise sur le nouveau problème. Dans les scans incrémentaux de branches, un problème correspondant dans un fichier inchangé peut aussi hériter de la décision antérieure ; les problèmes dans les fichiers modifiés lors de ce scan restent ouverts pour examen. L’historique du problème indique Decision carried over from the finding’s previous location, avec l’ancien emplacement et la date de la décision initiale lorsqu’ils sont disponibles. Les résultats SCA et conteneurs affichent dans ce panneau les détails du package et l’historique, ainsi que l’accessibilité lorsqu’elle est disponible. Si votre entreprise exige une approbation de triage pour False positive ou Accepted risk, passer un résultat Secrets, SAST, Logic & Auth ou SCA Packages à cette disposition crée une demande et laisse le résultat inchangé. Containers et IaC changent immédiatement. Une autre personne autorisée peut approuver ou rejeter une demande depuis la file d’approbation ou les détails du résultat. L’auteur d’une demande peut retirer ses propres demandes en attente. Les résultats en attente de validation affichent un badge Pending approval à côté de leur statut actuel dans le Workbench et dans les groupes de résultats développés sur les pages d’analyse.

​

Exporter les résultats

Cliquez sur Export pour télécharger un CSV contenant les résultats qui correspondent à l’onglet, au statut, à la recherche et aux filtres actifs. L’export inclut la dernière occurrence de chaque résultat et est limité à 25 000 lignes. Pour n’exporter que certains résultats, sélectionnez-les et cliquez sur Export selection dans la barre d’actions.

​

Trier les résultats en masse

Sélectionnez des résultats individuels ou un groupe développé. Vous pouvez aussi choisir Select all findings matching the current filters après une première sélection. La barre d’actions en masse vous permet de :

• Assigner des résultats à un membre de l’équipe
• Changer la sélection vers un autre statut pris en charge par l’onglet actif, y compris rouvrir un résultat ou accepter un risque
• Exporter la sélection

Cliquez sur Change status, choisissez une Decision et ajoutez un commentaire qui explique le changement. Le menu liste les statuts de cet onglet, sauf celui que vous consultez déjà. Pour Accepted Risk, indiquez une date future dans Expiry Date (Optional), ou laissez le champ vide pour que l’acceptation n’expire pas. Passé ce moment, le résultat repasse à Open et Corgea envoie une notification. Les résultats IaC n’ont pas de date d’expiration. Si votre entreprise exige une approbation, un changement en masse vers False positive ou Accepted Risk sur Secrets, SAST, Logic & Auth ou SCA Packages est soumis à approbation, et ces résultats conservent leur statut jusqu’à l’approbation. Containers et IaC changent immédiatement. Une personne autorisée à approuver les demandes de triage applique le changement immédiatement sur chaque onglet. Les changements de statut en masse nécessitent un commentaire, soumis à la même exigence de justification : un commentaire qui ne fait que répéter la décision est refusé et aucun statut n’est modifié. La barre d’actions résume le nombre de résultats, de projets et d’équipes sélectionnés, et signale les résultats ignorés. Une sélection en masse peut contenir jusqu’à 1 000 résultats.