Разметка уязвимостей найденных модулями сканирования ASOC#

Выполнение сценария доступно пользователям с одной из следующих ролей:

  • Владелец продукта.

  • Специалист ИБ.

  • Разработчик.

Проблематика#

В процессе эксплуатации Platform V ASOC Control Center возникает необходимость в разметке уязвимостей, найденных в рамках сканирования кода. Для этого требуется механизм, позволяющий Пользователю Platform V ASOC Control Center выполнять разметку найденных уязвимостей.

Предусловия#

Для выполнения разметки найденных уязвимостей, пользователю в роли Владелец продукта/Специалист ИБ/Разработчик необходимо:

  1. Быть авторизованным в текущей организации.

  2. Перейти в UI ASOC, выбрав пункт ASOC в левом боковом меню интерфейса OneWork.

  3. Выбрать проект (раскрывающийся список в поле «Проект»).

  4. Выбрать модуль сканирования в верхнем меню интерфейса ASOC.

    Модули сканирования — SCA, SAST.

  5. Выбрать нужные значения в полях:

    • Версия — 1 на рисунке Выбор параметров сканирования.

    • Репозиторий — 2 на рисунке Выбор параметров сканирования.

    • Ветка — 3 на рисунке Выбор параметров сканирования.

    • Хеш коммита — 4 на рисунке Выбор параметров сканирования.

    Выбор параметров сканирования

    В случае выбора модуля сканирования SCA, необходимо выбрать версию сканирования в поле Версия.

Правила эксплуатации#

Выполнение сценария не подразумевает специфических правил эксплуатации.

Последовательность выполнения#

  1. Модуль сканирования выполняет сканирование и находит уязвимости.

  2. Пользователь анализирует список найденных уязвимостей.

  3. Пользователь выбирает уязвимость в состоянии TODO.

  4. В UI ASOC открывается карточка уязвимости.

  5. Пользователь выполняет первоначальную разметку уязвимости:

    • добавляет комментарий в поле «Комментарий»;

    • выбирает статус уязвимости;

    • передает на верификацию первоначальную разметку Специалисту ИБ переводом уязвимости из состояния TODO в состояние REVIEW.

  6. Специалист ИБ выбирает из списка уязвимость в состоянии REVIEW верифицирует первоначальную разметку уязвимости.

  7. Специалист ИБ подтверждает разметку, выполненную Пользователем:

    • добавляет соответствующий комментарий в поле «Комментарий»;

    • переводит уязвимость в состояние APPROVED.

Результат#

После выполнения сценария Пользователь получает полную картину истории сканирований проекта, включая все выполненные сканирования, их результаты и статус. Это позволяет оценить динамику изменений в безопасности проекта и принять обоснованные решения по улучшению защиты.

Описание механизмов безопасности#

Для обеспечения безопасности процесса разметки уязвимостей рекомендуется:

  1. Использовать двухфакторную аутентификацию.

  2. Ограничить доступ к функции управления исключениями только для уполномоченных лиц.

  3. Проводить аудит прав доступа администратором, на регулярной основе.