Code Risk Analyzer 도움말

다음 명령은 Code Risk Analyzer 명령의 목록을 표시합니다.

ibmcloud cra --help

Code Risk Analyzer 명령 도움말

다음 명령은 명령에 사용되는 플래그의 세부사항을 표시합니다. 사용 가능한 명령을 표시하려면 ibmcloud cra --help을(를) 사용하십시오.

ibmcloud cra <command> --help

BOM 명령 요구사항

bom-generate 명령은 특정 외부 명령에 따라 달라집니다.

• 경로에 Dockerfile이 포함되어 있는 경우 이 명령은 각 Dockerfile에서 기본 이미지 및 모든 빌드 단계의 빌드 이미지를 풀다운합니다. 이 시나리오에서 bom-generate 명령을 사용하려면 Docker cli 및 tar 명령이 사용 가능해야 합니다.
• 경로에 Maven 파일이 있는 경우 이 명령은 mvn을(를) 사용하여 종속성 목록을 빌드합니다. 이 시나리오에서 bom-generate 명령을 사용하려면 mvn 명령이 사용 가능해야 합니다.
• 경로에 Gradle 파일이 있는 경우 이 명령은 gradle을(를) 사용하여 종속성 목록을 빌드합니다. 이 시나리오에서 bom-generate 명령을 사용하려면 gradle 명령이 사용 가능해야 합니다.
• 경로에 Node.js package-json 파일이 있고 이 명령을 사용하여 해당 package-lock.json 파일을 생성하는 경우 bom-generate 명령은 npm을(를) 사용하여 package-lock.json 파일을 빌드합니다. 이 시나리오에서 명령을 사용하려면 npm 명령이 사용 가능해야 합니다.
• 경로에 Python requirements.txt 또는 pyproject.toml 파일이 포함된 경우 이 명령은 pip 을 사용하여 패키지 종속성을 생성합니다. 이 시나리오에서 bom-generate 명령은 pip 명령을 사용할 수 있어야 합니다. Python 버전 2 및 Python 버전 3이 모두 지원됩니다.

Dockerfile을 사용하는 경우 기본 이미지를 가져오는 컨테이너 레지스트리에 로그인해야 합니다.

Dockerfile에 ARGS가 필요한 경우 명령을 실행하기 전에 개별 ARG를 환경 변수로 설정하십시오. 예를 들어, Dockerfile이 IAM_USER ARG를 사용하는 경우 IAM_USER: export IAM_USER='value' 환경 변수를 내보내십시오. CLI는 이 환경 변수를 docker build 명령으로 자동 전달합니다.

또한 DOCKERBUILDFLAGS 플래그를 명시적으로 지정할 수도 있습니다. ARGS Docker 플래그를 사용하여 DOCKERBUILDFLAGS을(를) 내보내려면 다음 명령을 입력하십시오.

export DOCKERBUILDFLAGS="--build-arg IAM_USER --build-arg API_KEY"

BOM 명령 옵션

다음 표에는 bom-generate 명령으로 BOM을 생성하는 데 사용할 수 있는 명령 옵션이 나와 있습니다.

파일 무시

경로에 .cra/.fileignore 파일이 포함된 경우 .fileignore 파일에 지정된 파일은 종속성에 대해 스캔되지 않습니다. .fileignore 파일은 .gitignore 파일의 규칙을 따라야 합니다. .gitignore 파일과 마찬가지로 .fileignore 파일에는 주석, 무시할 디렉터리, 무시할 파일 및 기타 패턴이 포함될 수 있습니다.

다음 예제 .fileignore 파일은 bash 스크립트, node_modules, Dockerfile을 제외하는 방법을 보여줍니다.

# Ignore nested functional_tests directory
**/functional_tests

# Ignore bash scripts
**/*.sh

# This should allow this one file
!test/gatling_tests/loginTobx.sh

# Ignore node_modules
node_modules

# Exclude the dockerfile from scanning
Dockerfile

여러 Docker 빌드 컨텍스트 설정

단일 프로젝트 내에서 여러 도커파일로 작업하는 경우 각 도커파일에 대해 별도의 빌드 컨텍스트를 정의할 수 있습니다. 이는 Docker파일 경로를 해당 빌드 컨텍스트에 매핑하는 JSON 파일인 .cra/.dockerbuildcontext 파일을 사용하여 수행할 수 있습니다.

프로젝트 디렉터리에 .cra/.dockerbuildcontext 파일이 있는 경우 CRA Docker 빌드 명령은 이 파일에 지정된 경로를 관련 Docker파일의 빌드 컨텍스트로 사용합니다. JSON 객체의 키는 Docker파일의 상대 경로를 나타내며, 값은 각 빌드 컨텍스트의 상대 경로를 지정합니다.

다음은 여러 Docker파일에 대해 서로 다른 빌드 컨텍스트를 정의하는 .dockerbuildcontext 파일의 예입니다:

{
  "Dockerfile": "./",
  "path/to/different/Dockerfile": "./another/Path"
}

예

다음 코드 스니펫은 bom-generate 명령을 사용하는 방법을 보여줍니다.

ibmcloud cra bom-generate --path PATH --report REPORT [--asset-type ASSET-TYPE] [--dockerbuildcontext] [--dockerbuildflags DOCKERBUILDFLAGS] [--dockerfilepattern DOCKERFILEPATTERN] [--gradle.excludeconfigurations GRADLE.EXCLUDECONFIGURATIONS] [--maven.excludescopes MAVEN.EXCLUDESCOPES] [--nodejs.createpackagelock] [--prev-report PREV-REPORT] [--region REGION] [--toolchainid TOOLCHAINID] [--verbose]

ibmcloud cra bom --path . --report bomreport.json

취약성 스캔 명령 옵션

다음 표에는 vulnerability-scan 명령 사용에 대한 옵션이 나열되어 있습니다.

취약성 무시

-c 또는 --cveignore 매개변수가 지정되면 명령은 해당 파일을 찾고 파일에 지정된 CVE를 보고하지 않습니다. 수정이 사용 가능할 때까지 또는 지정된 만기 날짜까지 무기한으로 CVE를 생략하도록 구성할 수 있습니다.

다음 예는 .cveignore 파일에 대한 JSON 스키마를 보여줍니다.

[
    {
        "cve": "string",
	    "alwaysOmit": "bool",
	    "untilRemediationAvailable": "bool",
	    "expiration": "string"
    }
]

다음 특성이 .cveignore 파일의 각 항목에 대해 지원됩니다.

• cve - 생략할 취약성입니다. 이 속성의 값은 CVE ID입니다.
• alwaysOmit - 이 특성을 true(으)로 설정하면 취약성이 변경될 때까지 생략됩니다. 이 특성은 다른 특성 값보다 우선합니다.
• untilremediationAvailable - 이 특성을 true(으)로 설정하면 수정 경로가 사용 가능할 때까지 취약성이 생략됩니다. 조치방안이 사용 가능해지면 취약성이 생략되지 않고 메시지가 표시됩니다. 이 특성은 만기 특성 값보다 우선합니다.
• expiration - 이 특성이 true(으)로 설정되고 만기일에 도달하지 않으면 취약성이 생략됩니다. 만기 날짜에 도달하면 취약성이 생략되지 않고 메시지가 표시됩니다. RFC3339 시간 형식(yyyy-MM-ddTHH:mm:ss[+-]Z)을 사용하여 이 특성을 정의하십시오.

Code Risk Analyzer는 이러한 정의된 특성만 사용합니다. 기능에 영향을 주지 않고 특성을 추가할 수 있습니다. .cveignore에 정의된 취약성이 생략되지 않으면 이유를 설명하는 로그가 생성됩니다. .cveignore 파일에 정의된 취약성이 생략되면 개별 로깅이 표시되지 않습니다. 생략 횟수 및 생략된 패키지 이름이 포함된 취약성 ID 목록은 보고서가 완료된 후 로그됩니다.

다음 코드 스니펫은 샘플 .cveignore 파일을 표시합니다.

[
    {
        "cve": "CVE-2021-27290",
        "alwaysOmit": true
    },
    {
        "cve": "CVE-2020-8244",
        "untilRemediationAvailable": true,
    }
]

예

다음 코드 스니펫은 vulnerability-scan 명령을 사용하는 방법을 보여줍니다.

ibmcloud cra vulnerability-scan --bom BOM [--cveignore CVEIGNORE] [--report REPORT] [--excludedev] [--include-nofix app,os,all,none] [--region REGION] [--strict] [--toolchainid TOOLCHAINID] [--output OUTPUTFILE]

ibmcloud cra cve --bom ./bom-file.json --cveignore ./cveignore-example.json --report ./output-vulnerability-report.json --excludedev --include-nofix all --strict

배치 명령 옵션

다음 표에는 deployment-analyze 명령에 사용할 수 있는 명령 옵션이 나열되어 있습니다.

예

다음 코드 스니펫은 deployment-analyze 명령을 사용하는 방법을 보여줍니다.

ibmcloud cra deployment-analyze --path PATH --report REPORT [--fileignore FILE_IGNORE] [--strict]

ibmcloud cra depl --path ./sampleDir --report deployment-report.json --strict

NetworkPolicy 분석 명령 옵션

다음 표에는 netpol-analyze 명령에 사용할 수 있는 명령 옵션이 나열되어 있습니다.

예

다음 샘플 코드 스니펫은 netpol-analyze 명령을 사용하는 방법을 보여줍니다:

ibmcloud cra netpol-analyze --path PATH --report REPORT [--connectivity CONNFILE] [--lint LINTFILE] [--strict]

ibmcloud cra np --path ./sampleDir --report netpol-report.json --strict

네트워크 구성 분석기 이미지

netpol-analyze 명령은 IBM 의 네트워크 구성 분석기(NCA) 의 일부로 실행됩니다. 이 명령은 NCA를 Docker 이미지로 실행하므로 컴퓨터에 다음을 설치해야 합니다 Docker 를 컴퓨터에 설치해야 합니다.

네트워크 정책 분석기용 이미지 URL 는 icr.io/continuous-delivery/cra/nca.

분석기 이미지가 로컬 레지스트리에 없는 경우 netpol-analyze 명령은 글로벌 IBM Cloud® Container Registry 에서 최신 분석기 이미지(취약점에 대한 수정 사항 포함)를 가져옵니다.

DevSecOps용 사용자 정의 스크립트 예

Dockerfile에 ARGS가 필요한 경우 명령을 실행하기 전에 cra-custom-script-path 매개변수를 사용하여 개별 ARG를 환경 변수로 설정할 수 있습니다. 사용자 정의 스크립트 경로는 사용자 프로젝트에 상주하는 스크립트에 대한 경로입니다. 예를 들어, Dockerfile이 IAM_USER ARG을(를) 사용하는 경우 IAM_USER: export IAM_USER='value' 스크립트 내에서 환경 변수를 내보내십시오. Dockerfile에 필요한 ARG가 도구 체인 내에서 환경 특성으로 설정된 경우 get_env을(를) 사용하여 값을 가져올 수 있습니다. 이 경우 IAM_USER: export IAM_USER=$(get_env iam_user_environment_property_name) 스크립트 내에서 환경 변수를 내보낼 수 있습니다. run-cra 태스크는 이러한 환경 변수를 자동으로 선택하여 Docker 빌드 명령에 전달합니다.

다음 예는 cra-custom-script을(를) 사용하여 ENV 변수를 내보내는 방법을 보여줍니다.

#!/usr/bin/env bash

if [[ "${PIPELINE_DEBUG:-0}" == 1 ]]; then
    trap env EXIT
    env | sort
    set -x
fi

export IAM_USER=$(get_env iam_user_environment_property_name)

프로젝트를 기반으로 DevSecOps 기본 이미지 도구가 이전 버전인 시나리오에 cra-custom-script-path 매개변수를 사용할 수도 있습니다. 예를 들어, 후속 pip 버전이 필요한 Python 패키지를 발견하기 위해 pip/pip3과(와) 같은 명령을 업데이트할 수 있습니다.

다음 예는 cra-custom-script을(를) 사용하여 pip 버전을 업데이트하는 방법을 보여줍니다.

#!/usr/bin/env bash

if [[ "${PIPELINE_DEBUG:-0}" == 1 ]]; then
    trap env EXIT
    env | sort
    set -x
fi

python3 -m pip install --upgrade pip

Dockerfile이 사설 Docker 레지스트리의 이미지를 사용하는 경우, Code Risk Analyzer를 실행하기 전에 cra-custom-script-path 매개변수를 사용하여 사설 Docker 레지스트리를 인증하고 Code Risk Analyzer가 이미지를 스캔하도록 허용할 수 있습니다.

다음 예는 cra-custom-script을(를) 사용하여 ibmcloud 컨테이너 레지스트리를 인증하는 방법을 보여줍니다.

#!/usr/bin/env bash

if [[ "${PIPELINE_DEBUG:-0}" == 1 ]]; then
    trap env EXIT
    env | sort
    set -x
fi

ibmcloud cr login

DevSecOps에서 Code Risk Analyzer 디버깅

디버깅에 도움이 되기 위해 Code Risk Analyzer를 로컬 머신에서 명령행 인터페이스(CLI)로 로컬에서 실행할 수 있습니다. ibmcloud cra bom-generate 명령을 실행하여 BOM을 생성하는 방법에 대한 자세한 내용은 BOM(자재 명세서)을 참조하세요. BOM을 생성한 후 ibmcloud cra cve 명령을 사용하여 모든 취약점을 나열합니다. ibmcloud cra cve 명령 실행에 대한 자세한 정보는 취약성 스캔을 참조하십시오.

run-cra 태스크에 오류가 없는지 확인하십시오. 태스크에 오류가 있는 경우 파이프라인이 현재 버전의 DevSecOps를 사용하는지 확인하십시오. DevSecOps 버전을 확인하여 문제가 해결되지 않으면 다음 예에서 몇 가지 일반적인 오류와 제안된 솔루션을 제공합니다.

FAILED
Error executing docker pull cmd: [docker pull us.icr.io/opentoolchain/ibmnode:14ubisecure]

개인용 레지스트리에 대한 액세스 권한이 있는지 확인할 수 있습니다. 액세스 권한이 없는 경우, cra-custom-script-path 매개변수를 사용하여 Code Risk Analyzer가 개인용 레지스트리를 인증하기 전에 실행되는 사용자 정의 스크립트에 대한 경로를 지정할 수 있습니다.

FAILED
Error executing docker build cmd for stage-0: exit status 1

Dockerfile에 ARGS가 필요한 경우 빌드 단계의 docker build 명령이 누락된 ARGS로 인해 빌드에 실패합니다. cra-custom-script-path은(는) ARGS를 환경 변수로 설정하는 데 필요합니다. 사용자 정의 스크립트 설정에 대한 자세한 정보는 DevSecOps용 사용자 정의 스크립트 예를 참조하십시오.

FAILED
Error executing docker build cmd for stage-0: exit status 1
...
COPY file-to-copy.js file-to-copy.js:
------
failed to compute cache key: "/file-to-copy.js" not found: not found

기본적으로 Code Risk Analyzer bom-generate 명령은 Dockerfile 자체의 위치 컨텍스트에서 Dockerfile을 빌드합니다. 루트 프로젝트 디렉토리의 컨텍스트에서 Dockerfile을 빌드하려면 cra-docker-build-context 매개변수를 사용하여 Code Risk Analyzer가 이 컨텍스트에서 Dockerfile을 빌드하도록 허용하십시오.

CLI가 실패한 이유를 판별할 수 있는 방법은 무엇입니까?

Code Risk Analyzer CLI를 호출하기 전에 IBMCLOUD_TRACE 환경 변수를 true로 설정하여 디버그 로그를 켜십시오.

export IBMCLOUD_TRACE=true

실패의 정확한 이유를 판별하기 위해 로그에 표시되는 응답 및 API 호출을 확인하십시오.

개인용 레지스트리에서 기본 이미지를 가져오는 데 실패한 BOM 명령을 디버그하는 방법은 무엇입니까?

ibmcloud cr login 명령 또는 docker login 명령을 사용하여 기본 이미지가 있는 레지스트리로 인증되었는지 확인하십시오.

Dockerfile을 분석하는 데 실패한 BOM 명령을 디버그하는 방법은 무엇입니까?

• docker build 명령을 실행하고 이 명령이 전달되는지 확인하여 Dockerfile에 문제가 없는지 확인하십시오.
• Dockerfile에서 ARG가 전달되어야 하는 경우 ARG가 환경 변수로 설정되어 있는지 확인하십시오. DOCKERBUILDFLAG 환경 변수를 사용할 수도 있습니다.
• 기본 이미지를 포함하는 레지스트리로 인증하십시오.

예상치 못한 오탐 결과가 표시되고 있습니다. 어떻게 해야 합니까?

DevSecOps CD(지속적 배포) 파이프라인을 실행하여 증거 보관함에서 업데이트된 SBOM을 생성합니다. 이는 DevSecOps CC(지속적 규정 준수) 파이프라인에서 생성된 이전 SBOM의 존재로 인해 발생하는 오탐의 잠재적 원인을 해결할 수 있습니다.

보고서 또는 이슈의 심각도가 관련 취약점 링크의 심각도와 다른 이유는 무엇인가요?

최근 취약점 정보의 출처가 변경되었으므로 특정 취약점과 관련된 심각도가 변경된 것을 볼 수 있습니다. 코드 위험 분석기는 모든 취약점의 원인을 계산하여 최적의 심각도를 결정합니다.