スキャンレポートのアップロード

Corgea DropsiteまたはCorgea CLIを使用してスキャンをアップロードできます。

前提条件 Corgeaに登録済みであることSASTスキャナー Checkmarx、CodeQL、Semgrep、Fortify、Coverity、SnykなどのSASTスキャナーを使用していること。Corgeaは現在これらのスキャナーをサポートしており、VeracodeとSonarQubeのサポートもロードマップに含まれています。

Corgea Dropsite

Corgea Dropsiteは、プロジェクトを簡単にCorgeaに追加して分析できるウェブインターフェースです。コードや様々なセキュリティスキャナーからのレポートをアップロードするオプションがいくつか用意されています。Dropsiteのファイルサイズ制限は200MBです。大規模なプロジェクトの場合は、Corgea CLIをご利用ください。

プロジェクトの追加

Corgeaにプロジェクトを追加するには、次の手順を実行します。 CorgeaのProjectsページまたはScansページでAdd Projectボタンをクリックし、Dropsiteページに移動します。

Dropsiteページには、プロジェクトを追加するためのいくつかのオプションが表示されます。

リポジトリを接続する(推奨)

このオプションにより、GitHub、GitLab、Azure DevOps、Bitbucket、Harnessなどの設定済みソース管理統合を使って、コードリポジトリをCorgeaに直接接続できます。適切なソース管理連携をクリックし、Corgeaによるリポジトリへのアクセスを許可します。 Corgeaに追加するリポジトリを選択します。

公開リポジトリを追加

リポジトリが公開されている場合は、URLを提供してCorgeaに追加できます。 Add a public repositoryアコーディオンをクリックします。 2. 入力欄に公開リポジトリのURLを入力します。 Addボタンをクリックします。

ウェブアップロード

このオプションでは、プロジェクトのコードを含むZIPファイルをアップロードできます。 Web uploadアコーディオンをクリックします。 Uploadボタンをクリックし、プロジェクトのコードを含むZIPファイルを選択します。

ファイルサイズを削減して処理を高速化するため、プロジェクトをアップロードする際はサードパーティライブラリとビルドアーティファクト（例:node_modules、vendor、dist）を除外してください。リポジトリから直接ZIPファイルをダウンロードすると、これらを除外できます。

Web uploadのファイルサイズ上限は200MBです。これを超えるプロジェクトにはCorgea CLIを使用してください。

プロジェクトを追加した後は、サポート済みのセキュリティスキャナーからレポートをアップロードする次のステップに進めます。

レポートをアップロード

レポートをアップロード

ローカルマシンからレポートファイル（通常はJSONファイル）を選択し、アップロードボックスにドロップします。

CorgeaはCheckmarx(JSON)、CodeQL(JSON)、Snyk(SARIF)、Semgrep(JSON)、Fortify(FPR)、Coverity(XML)スキャンをサポートしています。

処理

レポートが正常にアップロードされると、Corgeaがプロジェクトとレポートを処理します。

結果を確認

Corgeaのダッシュボードにリダイレクトされ、プロジェクトの分析結果を確認できます。

これらの手順に従うことで、プロジェクトを簡単に追加し、セキュリティレポートをCorgeaにアップロードして分析や修復を行うことができます。

Corgea CLI

Corgea CLI（コマンドラインインターフェース）は、CorgeaとCI/CDパイプラインの連携、カスタムスキャンの実行、200MBを超える大規模プロジェクトのアップロードに対応します。 Corgea CLIアコーディオンをクリックし、CLIのインストール方法と使用方法を確認します。 pipを使ってCorgea CLIをインストールできます。

pip install corgea-cli

CLIの詳細はこちら

CLIでアップロード

リポジトリに移動

スキャン対象のリポジトリに移動します。

cd <<Respository Name>>

スキャンを実行

corgea scan semgrep

corgea scan snyk

corgea upload report.json --project-name my-service

# Create a scan with a JSON output for example:
cx scan create --project-name juice-shop -s . --branch master --scan-types sast --report-format json --output-name report

#Upload the vulnerability report to Corgea
corgea upload report.json

corgea upload <scan report in json>

corgea upload <scan report in FPR>

corgea upload <scan report in XML>

結果を確認

スキャンが完了すると、リポジトリフォルダーにスキャンレポートが生成され、そのコピーが処理のためCorgeaに送信されます。

問題の修正

スキャン結果の規模によっては、結果が表示されるまで時間がかかることがあります。検出結果が数百件の場合、通常は10分ほどかかります。詳細は修正を参照してください。

トラブルシューティング

コマンドが見つかりません

このエラーは、Corgea CLIがインストールされていないか、PATHに含まれていない場合に発生します。

bash: corgea: command not found

CLIのインストール手順に従ってCLIをインストールします。

無効なトークンが提供されました。

https://www.corgea.app/integrations/で取得した正しいトークンを使用してCLIにログインしていることを確認します。

ログインしていません

SAST/SCAツールにログインしていないというエラーが出るかもしれません。一部のツールはログインが必要です。例えば、次のコマンドでSemgrepにログインできます:

  semgrep login

Git Showの失敗

  Command failed with output:
  fatal: not a git repository (or any of the parent directories): .git


  Failed to run 'git show -s --format=%B'. Possible reasons:

  - the git binary is not available
  - the current working directory is not a git repository
  - the current working directory is not marked as safe
      (fix with `git config --global --add safe.directory $(pwd)`)

  Try running the command yourself to debug the issue.
  Could not start scan Command failed with exit code: 128

スタートガイド

主な機能

インテグレーション

ツールとユーティリティ

リリース

信頼性とコンプライアンス

認証

スキャンレポートのアップロード

Corgea Dropsite

プロジェクトの追加

リポジトリを接続する(推奨)

公開リポジトリを追加

ウェブアップロード

レポートをアップロード

Corgea CLI

CLIでアップロード

トラブルシューティング

​Corgea Dropsite

​プロジェクトの追加

​リポジトリを接続する(推奨)

​公開リポジトリを追加

​ウェブアップロード

​レポートをアップロード

​Corgea CLI

​CLIでアップロード

​トラブルシューティング

Corgea Dropsite

プロジェクトの追加

リポジトリを接続する(推奨)

公開リポジトリを追加

ウェブアップロード

レポートをアップロード

Corgea CLI

CLIでアップロード

トラブルシューティング