Ett fynd är bara så tillförlitligt som underlaget bakom det. Säkerhet anger vilken typ av evidens som ligger bakom varje fynd, och endast evidens med en betrodd verifierings- post kan göra att ett fynd blockerar en pull request, skickar en avisering eller räknas som bekräftat.
De tre typerna
| Evidens | Innebörd | Verifieras av |
|---|---|---|
| Matchning mot säkerhetsråd | En fullständig genomsökning matchade den installerade paketversionen mot det berörda versionsintervallet i ett publicerat säkerhetsråd. | Själva genomsökningen: skannern och dess version, konfigurationen som Coroid gav den samt säkerhetsrådet och tidpunkten då det senast ändrades. |
| Validerat statiskt fynd | Koden matchar ett sårbart mönster. | En regel som klarat kalibreringen eller, för ett problem som en AI-modell har identifierat, en oberoende kontroll som härleder problemet på nytt från koden i den committen. Kontrollen körs separat, inte i samma körning som identifierade problemet. |
| Återskapat fel | Ett säkerhetsfel har körts och observerats. | En verifieringskörning i en isolerad miljö, som körs om oberoende med samma resultat. Planerat: Coroid kör ännu inte verifieringskörningar. |
En verifieringspost hör till en enda commit. Den förs inte över till nästa; nästa genomsökning gör en ny kontroll.
Vad varje typ får göra
- Beroendefynd tillämpar regler vid matchning mot säkerhetsråd.
- Hemligheter och kodregler tillämpar regler endast med en detektorversion som klarat kalibreringen. Se Skydd och tillämpning.
- Coroid Gransknings säkerhetspåståenden och granskningens fynd blockerar eller skickar aviseringar först när en oberoende kontroll bekräftar dem som ett validerat statiskt fynd.
Ännu inte bekräftat
Ett fynd utan sådan evidens visas som Ännu inte bekräftat. Det visas i Säkerhet, tillsammans med det som är känt, och gör inget mer: det underkänner inte en kontroll, skickar ingen avisering och räknas inte som bekräftat i Översikt. Här blir en AI-modells påstående kvar när den oberoende kontrollen inte kunde bekräfta det, till exempel för att koden som avgör problemet finns i en annan fil.
En avisering som importerats från GitHub och som Coroids egna genomsökningar inte har bekräftat visas som Importerad från GitHub, ännu inte bekräftad, och räknas separat i Översikt. Den skickar aviseringar och blockerar först när Coroids egen genomsökning bekräftar den. Se GitHub-behörigheter och Coroids Säkerhetskontroll.
Var du hittar informationen
På sidan för ett fynd visas dess evidens, vilken källa som skapade det och vad som verifierade det. Även pull requests för korrigeringar innehåller evidens: för ett beroende visas säkerhetsråden som åtgärdas och paketförteckningen före och efter ändringen. Se Pull requests för korrigeringar.