Säkerhet → Iakttagelser är den samlade listan över allt som Säkerhet har hittat, oavsett källa. Alla källor skriver till samma datalager, och samma problem som rapporteras av två källor blir en enda iakttagelse.
Iakttagelser, förekomster och källor
- En iakttagelse är ett enskilt problem i ett repository: ett sårbart paket, en läckt inloggningsuppgift eller ett sårbart kodmönster.
- Dess förekomster visar var problemet finns: i ett manifest och en beroendeväg, i en fil och på en rad eller i den commit och sökväg där en hemlighet förekommer. Två installerade versioner av samma paket är två förekomster.
- Dess källor visar vem som upptäckte problemet, när och hur fullständigt: OSV-Scanner, GitHub Dependabot, GitHub kodskanning, GitHub hemlighetsskanning, Coroids hemlighetsskanning, Coroids kodregler, ditt eget skanningskommando, Coroid Granskning och säkerhetsgranskningen.
Listan är grupperad per projekt. Filtrera den efter projekt, typ, allvarlighetsgrad, status, källa, offentliggörande och underlag. En beroendeiakttagelse grupperas per paket, med den uppgradering som åtgärdar problemet om en sådan är känd.
Allvarlighetsgrad och förfallodatum
Varje iakttagelse får ett förfallodatum en viss tid efter att den öppnas:
| Allvarlighetsgrad | Ska åtgärdas inom |
|---|---|
| Kritisk | 2 dagar |
| Hög | 7 dagar |
| Medel | 30 dagar |
| Låg | 90 dagar |
Översikt visar antalet iakttagelser som har passerat förfallodatum och de som förfaller inom tre dagar.
Statusar
| Status | Innebörd |
|---|---|
| Öppen | Finns på standardgrenen. |
| Åtgärdad i koden | En fullständig skanning visar att alla förekomster har försvunnit från standardgrenen. |
| Rotation bekräftad | En läckt inloggningsuppgift som någon har bekräftat har roterats eller återkallats. Se Läckta hemligheter. |
| Inte längre relevant | Alla säkerhetsråd som låg till grund för iakttagelsen har dragits tillbaka. Det här är inte ”åtgärdad”. |
| På en pull request | Upptäckt endast på en pull request. Den hör till pull request, och nästa skanning av standardgrenen upptäcker den om ändringen mergas. |
Ingen tyst grön status
En förekomst markeras som frånvarande endast när en fullständig skanning av den aktuella HEAD-versionen visar det. En partiell skanning, en misslyckad skanning, en skanning utan behörighet eller en skanning av en commit som grenen sedan har gått vidare från ändrar ingenting. Täckningen visar varje fall:
- Partiell: vissa filer kunde inte läsas fullständigt; de anges i täckningsinformationen.
- Inaktuell: inventeringen gäller inte den aktuella HEAD-versionen av standardgrenen eller är mer än ett dygn gammal.
- Okänt sedan …: en källa förlorade sin behörighet eller gick inte att läsa. Iakttagelser som bara den källan rapporterade visar ”status okänd sedan” den tidpunkten.
- Försenat säkerhetsrådsflöde: inget projekt visar ren täckning så länge det pågår.
Resultaten gäller i den ordning som Coroid observerade grenarnas HEAD-versioner, inte i commit-datumens ordning. Om någon gör en force-push av en gren tillbaka till en äldre commit blir en skanning av den committen det nyaste resultatet, och ett sent resultat för en HEAD-version som grenen har lämnat bakom sig ändrar ingenting.
Åtgärdad i koden och åtgärdad där den körs
Att merga en åtgärd betyder inte att den körs. Säkerhet följer upp de två separat:
- Åtgärdad i koden: problemet finns inte längre på standardgrenen.
- Per miljö: för varje miljö som rapporterar vad den kör skannar Coroid exakt den versionen. Iakttagelsen är åtgärdad där endast när skanningen är fullständig och inte hittar problemet. En revert eller rollback som återinför problemet öppnar iakttagelsen på nytt för den miljön.
En iakttagelses Miljöer visar för varje miljö ”Körs i produktion”, ”Endast i kod” eller ”Driftsättning okänd”. Driftsättning okänd betyder att Coroid inte har någon observerad version för miljön eller att det ännu inte finns någon fullständig skanning av den. Ett projekt utan driftsättningsspårning visar ”Endast repository-status — ingen driftsättningsversion spåras.” Se Driftsättningshändelser.
Översikt → Åtgärdsförlopp visar vad som fortfarande körs i produktion, vad som är åtgärdat i koden men ännu inte driftsatt, vad som ännu inte går att avgöra, åtgärdande pull requests som väntar på granskning samt mediantiden från upptäckt till att åtgärden mergas och driftsätts.
Undantag
Ett undantag döljer en iakttagelse från listan över öppna ärenden utan att ta bort den. Ägare och administratörer kan lägga till ett undantag för en iakttagelse:
| Typ | Krav |
|---|---|
| Acceptera risk | En motivering, den högsta allvarlighetsgrad som accepteras och ett framtida utgångsdatum. |
| Inte ett problem (falskt positivt resultat) | En motivering och den högsta allvarlighetsgrad som accepteras. Ett utgångsdatum är valfritt. |
Iakttagelsen kommer tillbaka när undantaget löper ut, när någon återkallar det eller när iakttagelsens allvarlighetsgrad överstiger den nivå som undantaget accepterar. En höjning av allvarlighetsgraden gör undantaget ogiltigt permanent. Observationer som undantaget dolde sparas och namnger iakttagelsen. Alla undantag registreras i organisationens granskningslogg.
En läckt inloggningsuppgift är annorlunda: den stängs endast när någon bekräftar att den har roterats eller återkallats. Se Läckta hemligheter.
Agera på en iakttagelse
Ägare och administratörer kan från en iakttagelse:
- Åtgärda: öppna åtgärdsarbetet för den. För en offentlig beroendeiakttagelse: en pull request med en åtgärd eller en åtgärdsuppgift om det inte finns någon åtgärdad version. För en kodiakttagelse: en åtgärdsuppgift. För en läckt hemlighet: en checklista för rotation. Se Pull requests för åtgärder.
- Acceptera risk eller markera den som Inte ett problem.
- Följ den öppna åtgärdsuppgiften och pull request.
Lagringstid
Iakttagelser, deras förekomster och underlag sparas medan repositoryt är anslutet. När ett repository kopplas från raderas de efter 30 dagar och återställs om det återansluts inom den tiden. Delad data om säkerhetsråd tillhör inte dig och sparas. Granskningsposter för undantag, bekräftelser och offentliggöranden följer granskningsloggens lagringstid.