Vulnerabilities Workbench

​

概要

Vulnerabilitiesページでは、組織全体の未対応のセキュリティ検出結果を一覧できます。各スキャンを個別に開かなくても、プロジェクト横断で検出結果を確認し、詳細を調査し、結果をエクスポートし、トリアージの判断を適用できます。 検出結果は次のタブに分かれます。

• Secrets
• SAST
• Logic & Auth
• SCA Packages
• Containers
• IaC

各タブは、その検出結果の種類を表示する権限がある場合にのみ利用できます。タブ上のバッジは、フィルター適用前の未対応検出結果数を示します。1,000件以上は省略表示されます（例: 1.8K）。 Workbenchに Almost ready と表示される場合、Corgeaが組織向けに利用の準備を進めています。準備が完了するまで、検出結果の件数、一覧、エクスポート、一括選択は利用できません。

​

検出結果の検索と確認

タブを選択し、グループとプロジェクトを展開して個々の検出結果に移動します。グループ分けは検出結果の種類ごとに異なります。たとえば、SCAはパッケージ、コンテナはイメージ、IaCはルールから始まります。1,000件以上の件数は省略表示されます（例: 24.6K）。省略された件数にポインターを合わせると、正確な件数が表示されます。プロジェクトの行にあるアイコンから、プロジェクトページを新しいタブで開けます。 Previous、Next、および表示されている場合はページ番号で、グループ化された結果を移動します。各一覧には現在の行範囲と、Corgeaが総件数を持っている場合はその総件数が表示されます。 ステータス操作でOpen、Fixed、False Positive、およびその検出結果の種類で利用可能なその他のステータスを切り替えられます。フィルターアイコンをクリックすると、重大度、プロジェクト、チーム、タグのフィルターが表示されます。行を隠している間、アイコンの数字は設定中のフィルター数を示します。行を隠してもフィルターは有効なままです。複数のタグを選択すると、選択したタグのいずれかを持つプロジェクトの検出結果が表示されます。タグの一致は大文字と小文字を区別し、保存されているプロジェクトタグと完全に一致する必要があります。SCA Packagesタブでは、メインのツールバーに到達可能性フィルターが追加されます。 Secrets、SAST、Logic & Auth、IaC でファイルパスを検索するには、Project フィルターを明示的に設定する必要があります。プロジェクトのグループを展開するだけでは、ファイルパス検索は有効になりません。このフィルターがない場合、タブに応じてシークレットのサブタイプ、CWE、IaCルールが検索対象になります。同じ検索範囲が、グループの件数、エクスポート、一括選択にも適用されます。 各タブのTeamフィルターを使うと、選択したチームが所有するプロジェクトのうち、表示権限のあるプロジェクトの検出結果に絞り込めます。プロジェクトフィルターと併用すると、両方の条件に一致するプロジェクトだけが表示されます。チームフィルターは、グループの展開、絞り込んだ結果のエクスポート、現在のフィルターに一致するすべての検出結果の選択にも適用されます。 検出結果を選択すると、スキャンページと同じ詳細パネルが開きます。自動トリアージの判断理由がある場合は、初期状態で選択されるAuto-Triageタブに表示されます。スキャン中に読み込まれたファイルはFiles Readタブで確認できます。証跡の確認、担当者の割り当て、Current Statusによるステータス変更ができます。Open Full Viewが表示されている場合は、検出結果の全画面を開けます。アドレスバーには選択した検出結果が残るため、同じリンクを開き直すと、その検出結果が現在の結果に残っていればパネルが復元されます。対応方針を変更するときは、決定を繰り返すだけでなく理由を説明するコメントが必要です（トリアージの理由を参照）。対応する検出結果を受け入れ済みリスクにする場合は、有効期限も選べます。 増分スキャンで以前のSASTの検出結果を再確認する場合、その検出結果がまだ存在すると確認できたときだけ、新しいスキャン結果に引き継がれます。確認できなかった検出結果は以前のスキャンに残ります。新しい結果に表示されないことだけでは、修正済みとは判断できません。修正済みになるのは、メインブランチでコードの変更により削除が確認された場合だけです。 増分スキャンで前回のスキャンから引き継がれるSASTの問題は、トリアージのステータス、理由、担当者、期限、受け入れ済みリスクの有効期限を保持します。問題を引き継いでも、期限や有効期限はリセットされたり削除されたりしません。 Corgeaが位置の修正された問題を認識すると、既存のトリアージ判断を引き継ぐ場合があります。新しい問題にすでに判断がある場合は上書きしません。ブランチの増分スキャンでは、変更されていないファイル内の同じ問題も以前の判断を引き継げます。そのスキャンで変更されたファイル内の問題は、確認のため未解決のままになります。問題の履歴にはDecision carried over from the finding’s previous locationが表示され、情報がある場合は以前の位置と元の判断日も示されます。 SCAとコンテナの検出結果では、同じパネルにパッケージの詳細と履歴が表示され、利用できる場合は到達可能性も確認できます。 会社で False positive または Accepted risk のトリアージ承認が必須の場合、Secrets、SAST、Logic & Auth、SCA Packages の問題をその対応方針に変えると申請が作成され、問題のステータスは変わりません。Containers と IaC はすぐに変わります。別の権限を持つ確認担当者が、承認キューまたは問題の詳細から申請を承認または却下できます。申請者は、自分の保留中の申請を取り下げられます。 レビュー待ちの検出結果には、Workbenchと、スキャンページで展開した検出結果のグループで、現在のステータスの横に Pending approval バッジが表示されます。

​

検出結果のエクスポート

Exportをクリックすると、アクティブなタブ、ステータス、検索、フィルターに一致する検出結果を含むCSVをダウンロードできます。エクスポートには各検出結果の最新の発生が含まれ、上限は25,000行です。 特定の検出結果だけをエクスポートするには、それらを選択してアクションバーのExport selectionをクリックします。

​

検出結果の一括トリアージ

個々の検出結果、または展開したグループを選択します。最初の選択後にSelect all findings matching the current filtersを選ぶこともできます。 一括アクションバーでは次の操作ができます。

• チームメンバーへの割り当て
• 再オープンやリスクの受け入れを含め、現在のタブが対応する別のステータスへの変更
• 選択内容のエクスポート

Change statusをクリックし、Decisionを選択して、変更理由をコメントに記入します。メニューには、いま表示しているステータスを除く、そのタブのステータスが出ます。Accepted Riskでは、Expiry Date (Optional)に未来の日時を入れるか、期限を設けない場合は空欄にします。その日時を過ぎると、問題はOpenに戻り、Corgeaが通知を送ります。IaCの問題に有効期限はありません。会社で承認が必須の場合、Secrets、SAST、Logic & Auth、SCA PackagesでのFalse positiveまたはAccepted Riskへの一括変更は承認申請になり、承認されるまでステータスは変わりません。ContainersとIaCはすぐに変わります。トリアージ申請を承認できる人は、どのタブでもその場で変更を適用します。 一括でのステータス変更にはコメントが必要で、同じ理由の要件が適用されます。決定を繰り返すだけのコメントは拒否され、ステータスは変更されません。アクションバーには選択した検出結果数、プロジェクト数、チーム数が表示され、スキップされた検出結果も報告されます。一括選択は最大1,000件までです。