Проблемы безопасности
В разделе Проекты → Название проекта → Проблемы безопасности (или в разделе Проблемы безопасности из главного меню слева) отображаются (в конкретном проекте/все) найденные уязвимости и дополнительная информация о них.
Список уязвимостей отображается со следующими параметрами:
- ID уязвимости - ID найденной проблемы безопасности
- Отметка False-Positive - признак ложноположительности проблемы безопасности
- Отметка Дубликат - признак дубликата проблемы безопасности
- Отметка Попавшее под ПБ - признак проблемы безопасности, попавшей под правило безопасности и исключенной из списка проблем
- Категория - название категории проблемы безопасности
- Уровень критичности - уровень критичности проблемы безопасности
- Обнаружено с помощью - название инструмента обнаружения уязвимости
- CWE - наименование CWE параметра
- CVE - наименование CVE параметра
- Статус - статус проблемы безопасности
- Сканируемый объект - название сканируемого объекта
- Ветка/тег источника - ветка/тег источника сканирования
- Название библиотеки - название библиотеки сканируемого объекта
- Версия библиотеки - версия библиотеки сканируемого объекта
- Строка - номер строки
- Совпадающий код - исходный код, содержащийся в проблеме безопасности
- Создано - дата обнаружения проблемы безопасности
- Обновлено - дата обновления проблемы безопасности
- Проект - название проекта (в проблемах безопасности конкретного проекта поле не показано)
- Ответственный - пользователи или группы пользователей, назначенные в роли ответственных
Также предусмотрены следующие возможности:
- Просмотр детализированной информации о проблеме безопасности.
- Видимость статусов проблем безопасности.
- Расширенная фильтрация по доступным атрибутам. Для настройки необходимо нажать на кнопку фильтрации и выбрать требуемые настройки фильтрации.
- Поиск по параметрам CWE и CVE.
- Множественные действия над проблемами безопасности.
Детализация проблем безопасности
По каждой найденной проблеме предусмотрена возможность получить дополнительную информацию в окне детального просмотра уязвимости. Для просмотра необходимо нажать на соответствующий ID уязвимости.
В окне детализации представлены следующие вкладки:
- Информация - блок с основной информацией об уязвимости
- Описание - подробное описание о категории уязвимости
- История - история действий над уязвимостью
- Дубликаты - дубликаты уязвимости
- Библиотека зависимостей - зависимости уязвимости
- Созданные задачи - задачи, созданные из уязвимостей
Также реализована возможность добавлять/удалять комментарии к проблемам безопасности в блоке справа. Предусмотрены тегирование других пользователей, возможность ответа на конкретный комментарий, удаление чужих комментариев (в рамках назначенного доступа).
Статусы проблем безопасности
Статусы проблем безопасности можно изменять вручную при просмотре список найденных проблем, а также в окне детального просмотра.
Также система предусматривает настройку Статусной модели, которая позволяет вручную/автоматически переключать статусы в соответствии с переходами статусов, что позволит придерживаться заявленного Workflow статусов проблем безопасности.
Фильтрация проблем безопасности
В разделе Проблемы безопасности (а также в рамках проблем по отдельному проекту) для удобства управления уязвимостями предусмотрена расширенная фильтрация списка проблем.
Фильтрация доступна по следующим параметрам:
Общие параметры:
- Категория - название категории проблемы безопасности
- Уровень критичности - уровень критичности проблемы безопасности
- Статус - статус проблемы безопасности
- Проект - проблемы безопасности конкретного проекта
- Ответственный - пользователи или группы пользователей, назначенные в роли ответственных
- Создано - дата обнаружения создания проблемы безопасности в системе ASOC
- Попавшие под ПБ - проблемы безопасности, попавшие под Правило безопасности
- False-positives - ложноположительные проблемы безопасности
- Дубликаты - дубликаты уязвимостей
Параметры обнаружения:
- Обнаружено с помощью - название инструмента обнаружения уязвимости
- CWE - наименование CWE параметра
- CVE - наименование CVE параметра
Параметры кода:
- Сканируемый объект - название сканируемого объекта
- Ветка/тег источника - ветка/тег источника сканирования
- Название библиотеки - название библиотеки
- Версия библиотеки - версия библиотеки
- Совпадающий код - исходный код, содержащийся в проблеме безопасности
Параметры комментариев к проблемам безопасности:
- Содержание текста - текст, содержащийся в комментариях к проблеме/проблемам безопасности
- Авторы - авторы комментариев
- Кол-во авторов - количество авторов комментариев к проблемам безопасности
- Последний - от другого автора - последний комментарий от других пользователей
- Нет моих комментариев - проблемы безопасности, к которым нет комментариев текущего пользователя
- Мне ответили - содержит ответы на комментарии текущего пользователя
- Меня упомянули - текущего пользователя упомянули в комментариях
Создание пресетов фильтров
В системе также реализована возможность использовать пресеты ранее настроенных фильтров, как личных, так и общих (глобальных или привязанных к группе), добавлять новые пресеты, сбрасывать пресеты.
Обратите внимание! Установлен лимит для личных пресетов - 10 пресетов. Для удаления или редактирования пресетов необходимо выбрать соответствующий значок напротив названия пресета в строке поиска пресетов.
Для того, чтобы создать пресет, необходимо выполнить следующие шаги:
- В разделе Проблемы безопасности нажать на значок фильтрации .
- В открывшейся форме настройки фильтрации установить необходимые значения фильтров полей таблицы проблем безопасности.
- После заполнения нажать на кнопку Сохранить как пресет.
- Далее в открывшемся окне заполнить следующие параметры пресета:
- Название
- Доступ (Личный/Общий) Если выбран Общий доступ, то необходимо добавить группу пользователей, у которой будет разрешение на использование пресета, в поле Группа (является обязательным)
- Нажать на кнопку Сохранить.
Множественные действия над проблемами безопасности
Функционал множественных действий над проблемами безопасности предназначен для одновременного управления несколькими проблемами безопасности.
Для применения множественных действий необходимо выбрать проблемы безопасности из списка с помощью чекбоксов .
Доступны следующие множественные действия:
- Изменение статуса проблем безопасности
- Изменение уровня критичности
- Назначение нового ответственного (конкретного пользователя или группы пользователей)
- Создание задач из проблем безопасности
- Добавление комментария
- Отметка False-positive
- Отметка Дубликат Также доступны действия по снятию отметок False-positive и Дубликат.