ממצאי אבטחה ומחזור חייהם

בלשונית אבטחה → ממצאים מופיעה הרשימה האחת של כל ממצאי האבטחה, ללא קשר למקור שגילה אותם. כל מקור כותב לאותו מאגר, ובעיה זהה שדווחה משני מקורות נחשבת לממצא אחד.

ממצאי אבטחה, הופעות ומקורות#

• ממצא אחד הוא בעיה נפרדת באחד המאגרים: חבילה פגיעה, פרטי גישה שנחשפו, או תבנית קוד פגיעה. ההופעות שלו מציינות היכן הוא נמצא: נתיב תלות, קובץ ושורה, או קומיט ונתיב שבו מופיע סוד. שתי גרסאות מותקנות של אותה חבילה נחשבות להופעות נפרדות.
• המקורות שלו מופעים הרשימה מסודרת לפי פרויקט. ניתן לסנן אותה לפי פרויקט, סוג, חומרה, מצב, מקור, חשיפה וראיות. ממצא תלותי מסודר לפי חבילה, עם העדכון שתוקן בו כאשר קיים כזה.
• חומרה ותאריכי יעד לכל ממצא יש תאריך יעד לאחר פתיחתו: מציינים מי זיהה אותו, מתי ועד כמה הבדיקה הייתה מלאה: OSV-Scanner, ‏GitHub Dependabot, סריקת הקוד של GitHub, סריקת הסודות של GitHub, סריקת הסודות של Coroid, כללי הקוד של Coroid, פקודת סריקה משלכם, סקירת Coroid וביקורת האבטחה.

הרשימה מקובצת לפי פרויקט. אפשר לסנן אותה לפי פרויקט, סוג, חומרה, מצב, מקור, חשיפה וראיות. ממצא תלות מקובץ לפי חבילה, ולצדו השדרוג שמתקן אותו, אם ידוע.

קריטי#

2 ימים

הסקירה הכללית מציגה את מספר הממצאים שמועד הטיפול בהם חלף ואת אלה שמועד הטיפול בהם יחול בתוך שלושה ימים.

נמצא בענף ברירת המחדל.#

חלקי#

: חלק מהקבצים לא נקראו במלואם, והם מצוינים בכיסוי. ישן : המידע אינו של ראש ענף ברירת המחדל הנוכחי, או שהוא ישן יותר מיום אחד.

• לא ידוע מתאריך…: המקור איבד את הרשאתו או לא ניתן היה לקרוא אותו. ממצאים שרק הוא דיווח עליהם יציגו "מצב לא ידוע מתאריך" זה.
• עיכוב בהזנה של התרעות: כל עוד זה נמשך, אף פרויקט אינו מציג כיסוי מלא.
• לא ידוע מאז…: מקור איבד את ההרשאה שלו או שלא ניתן היה לקרוא ממנו. בממצאים שדווחו רק על ידו מוצג המצב «לא ידוע מאז» אותו מועד.
• איחוד תיקון אינו אומר שהתיקון כבר פועל. מערכת האבטחה עוקבת אחר שני המצבים בנפרד:: כל עוד מצב זה נמשך, אין פרויקט שמוצגת בו כיסוי נקי.

התוצאות חלות לפי הסדר שבו Coroid זיהה את ראשי הענפים, ולא לפי תאריכי הקומיטים. אם מישהו מבצע force-push לענף שמחזיר אותו לקומיט ישן יותר, סריקה של אותו קומיט היא התוצאה החדשה ביותר, ותוצאה מאוחרת עבור ראש ענף שהענף כבר עזב אינה משנה דבר.

לפי סביבה#

מיזוג של תיקון אינו אומר שהתיקון כבר רץ. אבטחה עוקבת אחר שני הדברים בנפרד:

• הסביבות של ממצא: ענף ברירת המחדל כבר אינו מכיל את הבעיה.
• אירועי פריסה: עבור כל סביבה שמדווחת מה היא מריצה, Coroid סורקת בדיוק את אותה גרסה. הממצא נחשב מתוקן בסביבה רק כשהסריקה הושלמה ולא איתרה אותו. שחזור שינוי או חזרה לגרסה קודמת שמחזירים את הבעיה פותחים מחדש את הממצא עבור אותה סביבה.

ה־ סביבות מציגות, עבור כל סביבה, „פועל בסביבת ייצור”, „בקוד בלבד” או „פריסה לא ידועה”. פריסה לא ידועה פירושה של־Coroid אין גרסה שנצפתה עבור הסביבה, או שעדיין לא הושלמה עבורה סריקה. בפרויקט ללא מעקב אחר פריסות מופיע „מצב המאגר בלבד — לא מתבצע מעקב אחר גרסת פריסה”. למעקב אחר פריסות, ראו אירועי פריסה.

סקירה כללית → ספירת התקדמות התיקונים מציגה מה עדיין פועל בסביבת ייצור, מה תוקן בקוד אך עדיין לא פוזר, מה שעדיין לא ניתן לקבוע, בקשות משיכוך הממתינות לבדיקה, והזמן החציוני מרגע הגילוי ועד לשילוב התיקון ועד לפריסתו.

חריגות#

חריגה מסתירה ממצא מרשימת הפתוחים מבלי למחוק אותו. הבעלים והמנהלים מוסיפים חריגה על ממצא:

הממצא יחזור כאשר החריגה פגה, כאשר מישהו מבטל אותה, או כאשר רמת החומרה של הממצא עולה על מה שהחריגה מאפשרת. עלייה ברמת החומרה מבטלת את החריגה באופן קבוע. התצפיות שהחריגה הסתירה נשמרות, ויש לתת להן שם. כל חריגה נרשמת ביומן הביקורת של הארגון.

פרטי אישור דליפה שונים: הם נסגרים רק כאשר מישהו מאשר שהם הוחלפו או בוטלו. ראו סודות שדלפו.

פעולה על ממצא#

מהממצא, הבעלים והמנהלים יכולים לבצע:

• תיקון: לפתוח את משימת התיקון שלו. במקרה של ממצא תלות ציבורית, בקשת משיכוך תיקון, או משימת הקלה כאשר אין גרסה מתוקנת זמינה. במקרה של ממצא קוד, משימת תיקון. במקרה של סוד שדלף, רשימת הבדיקה להחלפה. ראו בקשות משיכוך תיקון.
• לקבל סיכון או לסמן אותו כ- לא בעיה.
• לעקוב אחר משימת התיקון הפתוחה שלו ו-pull request.

שמירה#

הממצאים, הופעותיהם והראיות שלהם נשמרים כל עוד המאגר מחובר. כאשר המאגר מתנתק, הם נמחקים לאחר 30 יום, ומשוחזרים אם הוא מתחבר שוב בתוך פרק זמן זה. נתוני ייעוץ משותפים אינם שלכם ונשמרים. רשומות ביקורת של חריגות, אישורים וחשיפות עוקבות אחר תקופת השמירה של יומן הביקורת.