問題のエクスポート

​

概要

​

エクスポートフォーマット

​

SARIF エクスポート

​

SARIFへのエクスポート方法

1

完了したスキャンを開く

プロジェクトのスキャン結果ページを開き、検出されたすべてのセキュリティ問題を確認します。

2

エクスポートメニューを開きます

問題リストのフィルター行の末尾にあるダウンロードアイコンからエクスポートメニューを開きます。メニューは SAST、 Logic & Auth、 Secret、 Code Quality タブに表示されています。

3

「SARIFにエクスポート」を選択します

セキュリティ検出結果をSARIF形式でダウンロードするには、Export to SARIFを使用します。現在、問題一覧に適用されているフィルターがエクスポートにも反映されます。

​

SARIFレポートの構成

• ツール情報:スキャンツールとしてのCorgeaの詳細
• ルール:セキュリティ脆弱性の定義(CWE分類、数値 security-severity スコア、ヘルプテキストを含む)
• 結果:場所、説明、メタデータを含む個別のセキュリティ検出
• コードフロー:フローコンテキストが利用可能な場合のソースからシンクまでのトレース(伝播ステップを含む)
• タクソノミー:CI/CDポリシー評価のためのプロジェクトタグと適用されるコードブロッキングルール

{
  "id": "CWE-89",
  "name": "SQL Injection",
  "shortDescription": {
    "text": "SQL Injection"
  },
  "fullDescription": {
    "text": "CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')"
  },
  "helpUri": "https://cwe.mitre.org/data/definitions/89.html",
  "help": {
    "text": "CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')\n\nUser-controlled input is concatenated into a SQL query without parameterization.",
    "markdown": "## SQL Injection\n\nUser-controlled input is concatenated into a SQL query without parameterization."
  },
  "defaultConfiguration": {
    "level": "warning"
  },
  "properties": {
    "security-severity": "5.0",
    "tags": ["security", "corgea", "sast", "CWE-89", "python"]
  }
}

​

SARIFレポートのサンプル

• SQLインジェクション(CWE-89)
• OSコマンド注入(CWE-78)
• クロスサイトスクリプティング(CWE-79)
• 経路トラバーサル(CWE-22)
• 信頼できないデータの非直列化(CWE-502)
• サーバーサイドリクエスト偽造(CWE-918)
• およびその他の一般的なセキュリティ脆弱性

​

CSV エクスポート

• カスタムレポートおよびダッシュボードの作成
• ビジネスインテリジェンスツールへのインポート
• 表形式データを好む利害関係者との検出結果共有
• スプレッドシートアプリケーションにおける大量分析の実施

• 問題IDとスキャンIDによる追跡
• プロジェクト名および分類の詳細
• 脆弱性タイプ(CWE分類)および緊急度レベル
• ファイル位置、行番号、プログラミング言語
• 問題の説明と重大度評価
• 問題に担当者が割り当てられている場合の担当者のメールアドレスと名前

​

サンプルCSVレポート

• Issue ID:各セキュリティ検出結果に対する一意識別子
• スキャンID:検出結果を特定のスキャン実行に結びつける識別子
• プロジェクト名:スキャンされたプロジェクト名
• 分類ID:CWE識別子(例:SQLインジェクションのCWE-89)
• 問題分類:人間が読み取れる脆弱性名
• 緊急性:優先度レベル(CR=重大、HI=高、ME=中)
• ファイル:影響を受けるソースコードファイルへのパス
• 行番号:問題が検出された行
• 言語:影響を受けたファイルのプログラミング言語
• 割り当て先メールアドレス:利用可能な場合、割り当てられたユーザーのメールアドレス
• 譲渡者名:利用可能な場合、割り当てられたユーザーの名前

​

PDFエクスポート

​

PDFへの書き出し方法

1

エクスポートメニューを開きます

スキャン詳細ページでエクスポートメニューを開き、Export as PDFを選択します。このオプションはSAST、Logic & Auth、Secretタブに表示されます。

2

何を含めるか選ぶ

検出結果をIssue typesとUrgencyで絞り込みます。デフォルトでは、すべての問題タイプと緊急度が選択されています。フィルターを変更するとFindings to exportが更新され、レポートに含まれる検出結果の件数を確認できます。

3

レポートを生成する

PDFを生成をクリックします。Corgeaはバックグラウンドでレポートを作成し進捗を表示し、ファイルが準備でき次第自動的にダウンロードが始まります。このファイル名はcorgea_scan_<scan_id>_findings.pdf。

​

含まれているもの

• 誤検知、問題が誤検知としてマークされたか、または誤検知として保留されたか
• コード品質の検出結果、そのため コード品質 タブでPDFエクスポートは提供されていません

​

レポート内容

• 組織:あなたのCorgea組織名
• リポジトリ:リポジトリのURLまたはURLがない場合はプロジェクト名を示します
• ブランチ および コミット:スキャンされたブランチおよびコミットSHA
• スキャン日:スキャン完了日
• 検出結果の総数:レポートに含まれる検出結果の件数
• エクスポート:レポート生成時

• 重大度:検出結果の緊急性
• 問題タイプ:CWE分類
• ファイル&行:影響を受けるファイルパスと行番号
• 説明:検出結果の簡略化説明
• リンク:Corgeaで問題の詳細を開くOpenリンク

​

限界

​

依存関係エクスポート

​

検出結果 CSV

​

SBOM

​

依存関係のカバレッジ

​

統合の利点

​

SARIF統合の利点

• ツール互換性:SARIFファイルは様々なセキュリティツール、IDE、CI/CDシステムで使用可能です
• GitHub Integration:GitHubはセキュリティアラートやコードスキャンのためにSARIFをネイティブでサポートしています
• 標準化されたフォーマット:業界標準フォーマットにより異なるプラットフォーム間の互換性が保証されます
• リッチメタデータ:詳細な位置情報、重大度レベル、対策ガイダンスを含む

​

ユースケース

• CI/CDパイプライン統合:ビルドパイプライン内のSARIFレポートを自動的に処理します
• セキュリティダッシュボード統合:検出結果を集中型セキュリティ管理プラットフォームにインポート
• コンプライアンス報告:セキュリティ監査およびコンプライアンス要件のための標準化されたレポートを生成する
• 開発者ワークフロー:SARIFをサポートするIDEと統合し、インラインのセキュリティフィードバックを得られます

​

ベストプラクティス

• 定期的なエクスポート:定期的なエクスポートを設定し、時間経過によるセキュリティ改善を追跡します
• バージョン管理:エクスポートしたレポートをコードと併存し、過去の追跡のために保存します
• 自動処理:SARIFエクスポートを自動化ワークフローで使用し、継続的なセキュリティ監視を行う
• ツール統合:SARIF互換性を活用して既存のセキュリティツールチェーンと統合

​

技術仕様

​

SARIF版

​

ファイルサイズの考慮事項

​

スキーマ検証