Разметка уязвимостей найденных модулями сканирования ASOC#

Сценарий Разметка уязвимостей найденных модулями сканирования ASOC реализует следующие сценарии:

  • Основной сценарий.

  • Исключительные сценарии.

  • Альтернативные сценарии.

Предусловия#

Для выполнения разметки найденных уязвимостей, пользователю в роли Специалист ИБ/Разработчик, необходимо:

  1. Быть авторизованным в текущей организации.

  2. Перейти в UI ASOC, выбрав пункт ASOC в левом боковом меню интерфейса OneWork.

  3. Выбрать проект (раскрывающийся список в поле «Проект»).

  4. Выбрать модуль сканирования в верхнем меню интерфейса ASOC.

    • Модули сканирования — SCA, SAST.

  5. Выбрать нужные значения в полях:

    • Версия - 1 на рисунке Выбор параметров сканирования.

    • Репозиторий - 2 на рисунке Выбор параметров сканирования.

    • Ветка - 3 на рисунке Выбор параметров сканирования.

    • Хеш коммита - 4 на рисунке Выбор параметров сканирования.

    Выбор параметров сканирования

    В случае выбора модуля сканирования SCA, необходимо выбрать версию сканирования в поле Версия.

Основной сценарий#

  1. Модуль сканирования выполняет сканирование и находит уязвимости.

  2. Разработчик анализирует список найденных уязвимостей.

  3. Разработчик выбирает уязвимость в состоянии TODO.

  4. В UI ASOC открывается карточка уязвимости.

  5. Разработчик выполняет первоначальную разметку уязвимости:

    • добавляет комментарий в поле «Комментарий»;

    • выбирает статус уязвимости;

    • передает на верификацию первоначальную разметку Специалисту ИБ переводом уязвимости из состояния TODO в состояние REVIEW.

  6. Специалист ИБ выбирает из списка уязвимость в состоянии REVIEW верифицирует первоначальную разметку уязвимости.

  7. Специалист ИБ подтверждает разметку, выполненную Разработчиком:

    • добавляет соответствующий комментарий в поле «Комментарий»;

    • переводит уязвимость в состояние APPROVED.

Исключительные сценарии#

  1. Модуль сканирования выполняет сканирование.

  2. Уязвимости не найдены - разметка уязвимостей не требуется.

Альтернативные сценарии#

Возврат разметки уязвимости на доработку#

  1. Модуль сканирования выполняет сканирование и находит уязвимости.

  2. Разработчик анализирует список найденных уязвимостей.

  3. Разработчик выбирает уязвимость в состоянии TODO.

  4. В UI ASOC открывается карточка уязвимости.

  5. Разработчик выполняет первоначальную разметку уязвимости:

    • добавляет комментарий в поле «Комментарий»;

    • выбирает статус уязвимости;

    • передает на верификацию первоначальную разметку Специалисту ИБ переводом уязвимости из состояния TODO в состояние REVIEW.

  6. Специалист ИБ выбирает из списка уязвимость в состоянии REVIEW верифицирует первоначальную разметку уязвимости.

  7. Специалист ИБ не подтверждает разметку, выполненную Разработчиком:

    • добавляет соответствующий комментарий в поле «Комментарий»;

    • переводит уязвимость в состояние RETURNED.

  8. Разработчик выбирает из списка уязвимость в состоянии RETURNED, дорабатывает разметку уязвимости в соответствии с комментарием Специалиста ИБ и переводит уязвимость в состояние REVIEW.

  9. Специалист ИБ выбирает из списка уязвимость в состоянии REVIEW верифицирует доработанную разметку уязвимости и в случае отсутствия дополнительных замечаний подтверждает доработанную Разработчиком разметку:

    • добавляет соответствующий комментарий в поле «Комментарий»;

    • переводит уязвимость в состояние APPROVED.

Доработка разметки уязвимости Специалистом ИБ#

  1. Модуль сканирования выполняет сканирование и находит уязвимости.

  2. Разработчик анализирует список найденных уязвимостей.

  3. Разработчик выбирает уязвимость в статусе TODO и выполняет первоначальную разметку уязвимости:

    • при необходимости изменяет статус уязвимости в поле «Статус»;

    • добавляет комментарий в поле «Комментарий»;

    • при необходимости изменяет уровень критичности;

    • передает на верификацию первоначальную разметку Специалисту ИБ переводом уязвимости из состояния TODO в состояние REVIEW.

  4. Специалист ИБ выбирает из списка уязвимость в состоянии REVIEW для верификации первоначальной разметки уязвимости.

  5. Специалист ИБ не подтверждает первоначальную разметку, выполненную Разработчиком и самостоятельно дорабатывает разметку. В процессе доработки разметки:

    • при необходимости изменяет статус уязвимости в поле «Статус»;

    • добавляет комментарий в поле «Комментарий»;

    • при необходимости изменяет уровень критичности в поле «Уровень критичности»;

    • переводит уязвимость в состояние APPROVED.

Запрос на доработку разметки Разработчиком#

  1. Модуль сканирования выполняет сканирование и находит уязвимости.

  2. Разработчик анализирует список найденных уязвимостей.

  3. Разработчик выбирает уязвимость в статусе TODO и выполняет первоначальную разметку уязвимости:

    • при необходимости изменяет статус уязвимости в поле «Статус»;

    • добавляет комментарий в поле «Комментарий»;

    • при необходимости изменяет уровень критичности;

    • передает на верификацию первоначальную разметку Специалисту ИБ переводом уязвимости из состояния TODO в состояние REVIEW.

  4. Специалист ИБ выбирает из списка уязвимость в состоянии REVIEW верифицирует первоначальную разметку уязвимости.

  5. Специалист ИБ подтверждает разметку, выполненную Разработчиком:

    • добавляет соответствующий комментарий в поле «Комментарий»;

    • переводит уязвимость в состояние APPROVED.

  6. Разработчик принимает решение, о необходимости доработки разметки уязвимости и запрашивает разрешение на доработку разметки переводом уязвимости из состояния APPROVED в состояние RECONSIDER.

  7. Специалист ИБ подтверждает доработку разметки уязвимости:

    • добавляет соответствующий комментарий;

    • переводит уязвимость из состояния RECONSIDER в состояние REOPENED.

  8. Разработчик переводит уязвимость из состояния REOPENED

    • дорабатывает разметку (изменяет критичность, комментарий, статус верификации);

    • переводит уязвимость в состояние REVIEW, чтобы передать на повторную верификацию.

  9. Специалист ИБ выбирает уязвимость в состоянии REVIEW и проводит верификацию доработанной разметки уязвимости, при необходимости добавляет комментарий в поле «Комментарий».

  10. Специалист ИБ подтверждает подавление уязвимости переводом из состояния REVIEW в состояние APPROVED.

Для инициации процедуры дополнительной разметки уязвимости после перевода уязвимости в состояние APPROVED, пользователю с любой ролью, доступен перевод уязвимости в состояние RECONSIDER.

Изменять состояние уязвимости находящейся в состоянии RECONSIDER на состояние REOPENED, могут пользователи с привилегиями triage_vulnerability.

Элементы карточки уязвимости#

Карточка уязвимости включает следующие элементы

№

Элемент

Описание элемента

1

Наименование уязвимости

Системное наименование уязвимости

2

Фрагмент кода

Фрагмент кода в котором обнаружена уязвимость

3

Описание уязвимости

Описание уязвимости с объяснением влияния уязвимости на код

4

Поле отображения комментариев и состояниями

Поле отображения комментариев и истории перехода между состояниями

5

Поле Комментарий

Поле ввода комментариев

6

Состояние уязвимости

Кнопка изменения состояния уязвимости

7

Параметры

Параметры уязвимости

8

Подробнее

Кнопка открытия подробного описания параметров уязвимости

9

Рекомендации по устранению уязвимости

Описание рекомендаций по устранению уязвимости

Таблица переходов состояний#

Текущее состояние

Доступные переходы

Кто может выполнить переход

Условия / Примечания

TODO

REVIEW

Разработчик

Переход инициирует Разработчик после первичной разметки

REVIEW

APPROVED

Специалист ИБ

Выполняется Специалистом ИБ после верификации
Может быть установлено Suppressed

RETURNED

Специалист ИБ

Уязвимость возвращена на доработку Разработчику
После этого Разработчик может снова перевести в REVIEW

TODO

Разработчик

Возврат на повторный первичный анализ

RETURNED

REVIEW

Специалист ИБ, Разработчик

Выполняется Разработчиком после доработки
Сбрасываются: Уровень критичности → last_finding.severity, status → NOT_SET

APPROVED

RECONSIDER

Специалист ИБ

Инициируется Разработчиком при запросе пересмотра
Только с комментарием

RECONSIDER

REOPENED

Специалист ИБ

Подтверждается Специалистом ИБ
Готово к повторной обработке

REOPENED

REVIEW

Специалист ИБ, Разработчик

Разработчик дорабатывает и передает на повторную верификацию
Автоматически сбрасываются: Подавление suppressed → UNDECIDED, Статус → NOT_SET

Состояния и их метаописание#

Состояние

Метка

Описание

TODO

ToDo

Уязвимость ожидает первичной обработки

REVIEW

Review

Уязвимость на проверке у Специалиста ИБ

RETURNED

Returned

Уязвимость возвращена в обработку

APPROVED

Approved

Уязвимость подтверждена

RECONSIDER

Reconsider

Запрос на пересмотр разметки

REOPENED

Reopened

Уязвимость переоткрыта для доработки

Автоматические действия при переходах (state_transition_actions)#

Переход

Что происходит автоматически

REVIEW → RETURNED

severity → last_finding.severity, status → NOT_SET

REVIEW → TODO

severity → last_finding.severity, status → NOT_SET, suppressed → UNDECIDED

RECONSIDER → REOPENED

severity → last_finding.severity, status → NOT_SET, suppressed → UNDECIDED