Надежность обнаружения напрямую зависит от имеющихся доказательств. Система безопасности указывает тип доказательств, лежащих в основе каждого обнаружения, и только доказательства с подтверждённым записью о проверке могут стать причиной блокировки pull request, отправки уведомлений или признания обнаружения подтверждённым.
Три типа
| Доказательства | Средства | Подтверждено с помощью |
|---|---|---|
| Соответствие рекомендации | Полное сканирование сопоставило установленную версию пакета с затронутым диапазоном опубликованной рекомендации. | Само сканирование: сканер и его версия, конфигурация, заданная Coroid, а также рекомендация с датой последнего изменения. |
| Статическое обнаружение, прошедшее валидацию | Код соответствует уязвимому шаблону. | Правило, прошедшее калибровку, или, в случае проблемы, выявленной моделью AI, независимая проверка, воспроизводящая проблему на основе кода в данном коммите. Эта проверка выполняется отдельно от той, которая выявила проблему. |
| Воспроизведённая ошибка | Ошибка безопасности была выполнена и зафиксирована. | Проверка в изолированной среде, выполненная независимо с тем же результатом. Запланировано: Coroid пока не выполняет такие проверки. |
Запись о проверке относится к одному коммиту. Она не переносится на следующий коммит; следующее сканирование проводится заново.
Возможности каждого типа
- Обнаружения зависимостей Применяются к случаям соответствия рекомендациям.
- Правила для секретов и кода Применяются только если версия детектора прошла калибровку. См. Меры защиты и принудительное применение.
- Утверждения о безопасности Coroid Review и результаты аудита блокируют процессы или отправляют уведомления только после того, как независимая проверка подтвердит их как статическое обнаружение, прошедшее валидацию.
Ещё не подтверждено
Обнаружение без таких доказательств отображается как Ещё не подтверждено. Оно отображается в разделе Безопасность со всеми известными сведениями, но не оказывает другого воздействия: не приводит к сбою проверки, не отправляет уведомления и не учитывается в Обзоре как подтверждённое. Так выглядит утверждение модели AI, которое не удалось подтвердить независимой проверкой, например из-за того, что код, определяющий проблему, находится в другом файле.
Алерт, импортированный из GitHub, который не был подтверждён собственными сканированиями Coroid, отображается как Импортировано из GitHub, ещё не подтверждено, и учитывается отдельно в разделе Обзор. Уведомления и блокировка наступают только после подтверждения обнаружения собственным сканированием Coroid. См. Разрешения GitHub и проверка безопасности Coroid.
Где это посмотреть
На странице обнаружения указаны его доказательства, источник и то, что их подтвердило. В исправляющих запросах на объединение также содержатся доказательства: для зависимостей — рекомендации, которые они исправляют, и информация о пакетах до и после изменений. См. Исправляющие запросы на объединение.