Uma ocorrência só é tão confiável quanto a evidência que a sustenta. A Segurança identifica o tipo de evidência por trás de cada ocorrência, e somente evidências com registro de verificação confiável podem fazer com que uma ocorrência bloqueie um pull request, notifique alguém ou seja considerada confirmada.
Os três tipos
| Evidência | Significado | Verificado por |
|---|---|---|
| Correspondência de aviso | Uma varredura completa comparou a versão do pacote instalado com o intervalo afetado de um aviso publicado. | A própria varredura: o scanner e sua versão, a configuração que o Coroid definiu para ele e o aviso com a data da última alteração. |
| Ocorrência estática validada | O código corresponde a um padrão vulnerável. | Uma regra que passou na calibração ou, no caso de uma ocorrência gerada por um modelo do AI, uma verificação independente que rederiva a ocorrência a partir do código naquele commit. A verificação é uma execução separada, não a que a gerou. |
| Falha reproduzida | Uma falha de segurança foi executada e observada. | Uma execução de prova em ambiente isolado, reexecutada de forma independente com o mesmo resultado. Planejado: O Coroid ainda não executa provas. |
Um registro de verificação pertence a um commit específico. Ele não é transferido para o próximo; a próxima varredura verifica novamente.
O que cada tipo pode fazer
- Ocorrências de dependência são aplicadas nas correspondências de avisos.
- Regras de segredos e código são aplicadas somente se a versão do detector tiver passado na calibração. Veja Proteções e aplicação.
- As alegações de segurança da Revisão do Coroid e as ocorrências da auditoria bloqueiam ou notificam apenas quando uma verificação independente as confirma como ocorrências estáticas validadas.
Ainda não confirmada
Uma ocorrência sem essa evidência é listada como Ainda não confirmada. Ela aparece na Segurança, com o que é conhecido, e não realiza nenhuma outra ação: não falha uma verificação, não notifica ninguém nem conta como confirmada na Visão geral. É aqui que a alegação de um modelo do AI permanece quando a verificação independente não consegue confirmá-la, por exemplo porque o código que determina a ocorrência está em outro arquivo.
Um alerta importado do GitHub que as próprias varreduras do Coroid não confirmaram aparece como Importado do GitHub, ainda não confirmado, e é contabilizado separadamente na Visão geral. Ele notifica e bloqueia somente quando a própria varredura do Coroid o confirmar. Veja Permissões do GitHub e a verificação de segurança do Coroid.
Onde visualizar
A página de uma ocorrência exibe sua evidência, qual fonte a produziu e o que a verificou. Os pull requests de correção também carregam sua evidência: no caso de dependências, os avisos que corrigem e o inventário de pacotes antes e depois da alteração. Veja Pull requests de correção.