Дубликаты и копии проблем безопасности

В TRON.ASOC используются механизмы определения копий и дедупликации проблем безопасности. Они помогают находить повторяющиеся записи и снижать количество избыточной информации в результатах.

Отличие копии от дубликата

Копия — это уязвимость, хеш которой полностью совпадает с хешем уже зафиксированной уязвимости (состав полей хеша описан в подразделе Определение копий на основе хеша). Поскольку набор полей, входящих в хеш, настраивается через файл конфигурации, совпадение по хешу не обязательно означает, что обе уязвимости обнаружены одним и тем же инструментом сканирования: если поле Tool_Type_name исключено из хеша, копией может быть признана и уязвимость, найденная другим инструментом.

При совпадении хеша новая запись не создается: система не сохраняет копию, а только обновляет дату последнего обнаружения у уже существующей уязвимости. Например, если один и тот же отчет с одной и той же уязвимостью загружается 50 раз, при первой загрузке уязвимость сохраняется, а при каждой из последующих 49 загрузок система лишь обновляет дату последнего обнаружения, не создавая дополнительных записей.

Дубликат — это уязвимость, хеш которой хотя бы по одному полю отличается от хеша другой уязвимости, но которая сгруппирована с ней по правилам дедупликации либо вручную помечена пользователем как дубликат. Понятие дубликата не связано с инструментом сканирования: например, две уязвимости-дубликата могут быть найдены одним и тем же инструментом. Дубликат — не копия.

Определение копий на основе хеша

Система определяет копии уязвимостей по хешу. Хеш формируется из следующих полей уязвимости:

• Tool_Type_name — тип инструмента сканирования;
• CVE — идентификатор CVE;
• CWE — идентификатор CWE;
• Source_file — путь к исходному файлу;
• Lib_name — название библиотеки;
• Lib_version — версия библиотеки;
• Category — категория уязвимости;
• Source_object — исходный объект;
• Line — номер строки;
• Matched_Code — совпавший фрагмент кода.

Поскольку состав этих полей настраивается через файл конфигурации, пользователь может, например, исключить Tool_Type_name. Тогда копиями будут признаваться совпадающие уязвимости независимо от того, каким инструментом они обнаружены.

Копии определяются следующим образом:

1. При запуске TRON.ASOC с включенной функцией хеширования система пересчитывает хеш для всех существующих уязвимостей.
2. Система выявляет копии и удаляет их, оставляя самую раннюю запись из каждого набора копий.
3. Статус оставшейся уязвимости определяется по следующему правилу:
   • New — если среди копий была хотя бы одна уязвимость в открытом статусе;
   • Fixed — если ни одна из копий не находилась в открытом статусе.

Та же логика применяется и при каждой новой загрузке отчета: если хеш вновь обнаруженной уязвимости совпадает с хешем уже сохраненной уязвимости, то обновляется только дата последнего обнаружения существующей уязвимости, новая запись об уязвимости не создается.

Внимание

Изменение параметров хеша доступно только через файл конфигурации. Управление через пользовательский интерфейс не предусмотрено.

к сведению

Количество уязвимостей в результатах сканирования отображается с учетом хеширования.

Дедупликация проблем

Дедупликация позволяет автоматически находить и объединять повторяющиеся записи проблем безопасности.

Подсказка

Подробнее о настройке глобальных правил дедупликации см. раздел Правила дедупликации.

Поиск дубликатов проблем безопасности

Чтобы просмотреть дубликаты проблем безопасности, выполните следующие шаги:

1. Перейдите в раздел Проблемы.

2. Откройте проблему безопасности, к которой может относиться дедупликация.

3. Выберите вариант Найти и дедуплицировать похожие проблемы из раскрывающегося списка Действия.

   

   Рисунок 1 — Найти и дедуплицировать

4. В открывшемся окне справа установите требуемые фильтры.

   

   Рисунок 2 — Фильтрация проблем

5. Нажмите кнопку Продолжить.

6. Выберите уязвимости из списка в новом окне справа.

7. Нажмите кнопку Пометить как Дубликат.

Рисунок 3 — Отметка дубликатов

После этого проблемы будут отмечены как дубликаты и привязаны к новой проблеме, а в интерфейсе системы появится уведомление об этом.