Scans konfigurieren

Zum Generieren der SBOM-Datei greift ein Code Risk Analyzer-Scan auf Artefakte im angegebenen Verzeichnispfad zu und führt eine gründliche Erkennung durch, um alle Abhängigkeiten einschließlich trasitiver Abhängigkeiten zu identifizieren. Es gibt keine bestimmten Pipelineumgebungsvariablen, die erforderlich sind, um die SBOM-Datei zu generieren und Schwachstellen zu erkennen. Wenn der Pfad jedoch eine Dockerfile enthält, wird das Basisimage extrahiert und Images werden für jede in der Datei angegebene Buildstufe erstellt.

Wenn für Ihre Dockerfile ARGS erforderlich ist, legen Sie ein einzelnes ARG als Umgebungsvariable in einem angepassten Script fest und geben Sie die Position des angepassten Scripts als Pipeline an.

Weitere Informationen finden Sie unter Angepasste Scripts.

Terraform-Dateien werden standardmäßig nicht analysiert. Zum Scannen Ihrer Terraform-Datei müssen Sie die folgenden Pipelineumgebungsvariablen festlegen.

Der Code Risk Analyzer-Scan verwendet den bereitgestellten API-Schlüssel für die Anmeldung bei der IBMCloud-CLI und löst einen Docker-Build aus. Die vorhandene IBM Cloud-CLI-Sitzung wird für den Rest dieses CRA-Schritts weiterhin verwendet. Die IBM Cloud-CLI-Sitzung läuft jedoch nach 20 Minuten für eine Standard-API-Schlüsselanmeldung ab. Wenn der Buildprozess länger als 20 Minuten dauert, schlägt der CRA-Schritt mit einer 401-Fehlernachricht fehl, da die Sitzung abgelaufen ist. Die Umgebungsvariable ibmcloud-enable-session-keep-alive wurde eingeführt, um die IBM Cloud-CLI-Sitzung für so lange Operationen aktiv zu halten.

Standardmäßig führt der Code Risk Analyzer-Bereitstellungsanalysebefehl Konfigurationsprüfungen für Kubernetes-Bereitstellungsmanifeste aus. Der Code Risk Analyzer-Befehl deployment-analyze wird mit der Optionsgruppe --strict ausgeführt. Um Dateien während der Implementierung von Code Risk Analyzer zu ignorieren, muss die folgende Umgebungsvariable verwendet werden.

Schwachstellen auslassen, um Ihre App bereitzustellen

Der Code Risk Analyzer wurde entwickelt, um verwundbare Pakete zu finden, bevor ein Advisory Board dies tut. In Ausnahmefällen müssen Sie Ihre Anwendung möglicherweise implementieren, auch wenn anfällige Pakete erkannt und noch nicht behoben wurden. Sie sollten die Pakete nach Möglichkeit aktualisieren oder entfernen, bevor Sie Ihren Code erneut implementieren.

Um bestimmte Dateien zu ignorieren und Ihre Push-Operation für die Produktion abzuschließen, können Sie eine Datei mit dem Namen .cra/.cveignore im Stammverzeichnis des gescannten Repositorys mit dem folgenden Schema erstellen:

[
  {
    "cve": "string",
    "alwaysOmit": "bool",
    "untilRemediationAvailable": "bool",
    "expiration": "string"
  },
]

Das folgende Code-Snippet zeigt eine Beispieldatei .cveignore:

[
  {
    "cve": "CVE-2021-27290",
    "alwaysOmit": true
  },
  {
    "cve": "CVE-2020-8244",
    "untilRemediationAvailable": true,
  },
  {
    "cve": "CLAIR-JAVA-ORGAPACHEHTTPCOMPONENTS-31517",
    "expiration": "2022-02-10T22:08:41+04:00",
    "comment": "Additional security measures are in place"
  }
]

Diese Datei wurde früher als .craveomit bezeichnet. Das ursprüngliche Dateiformat wurde veraltet und durch .cra/.cveignore ersetzt. Aktualisieren Sie Ihren Code so, dass die neueste Datei verwendet wird.

Sie können weitere Informationen zu den Dokumenten des Code Risk Analyzer-Plug-ins oder auch die veralteten CRA-Dokumente lesen.

Schwachstellen automatisch beheben

Sie können Code Risk Analyzer als Teil der CC-Pipeline (CC = Continuous Compliance) verwenden, um Schwachstellen nicht nur zu finden, sondern automatisch zu beheben. Code Risk Analyzer arbeitet als Teil des Schritts compliance-check der Pipeline. Standardmäßig ist die automatische Fehlerbehebung deaktiviert.

Die automatische Korrektur ist nur für die CC-Pipeline verfügbar.

Wenn die automatische Korrektur aktiviert ist, versucht Code Risk Analyzer, ein anfälliges Paket auf eine nicht vunnerable Version zu aktualisieren, indem eine Pull-Anforderung mit den angegebenen Fixes für den Standardzweig Ihres Repositorys erstellt wird. Standardmäßig aktualisiert Code Risk Analyzer Minor-und Patchversionen für das anfällige Hauptpaket sowie abhängige Pakete, jedoch nicht die Hauptversion eines Pakets. Wenn die Pull-Anforderung akzeptabel ist, können Sie sie manuell genehmigen und zusammenführen. Jedes Mal, wenn die Pipeline ausgeführt wird, wird eine neue Pull-Anforderung generiert. Stellen Sie daher sicher, dass sie geprüft und zusammengeführt werden, wenn sie geöffnet werden, um Duplizierungen zu vermeiden.

Die automatische Korrektur ist für die Enterprise GitHub-und GitLab-Repositorys verfügbar und kann die in der folgenden Tabelle angegebenen Dateien ändern.

Um die automatische Korrektur von Schwachstellen zu starten, legen Sie die folgenden optionalen Umgebungsvariablen für Ihre Pipeline fest.

Deaktivieren von Scans mit dem Code Risk Analyzer

Legen Sie die folgenden Umgebungsvariablen fest, um die Scans des Code Risk Analyzer zu deaktivieren.

Der Schwachstellen-Scan und der Scan zur Bereitstellunganalyse sind standardmäßig als erforderliche Prüfungen für den Filialschutz festgelegt. Wenn Sie einen dieser Scans deaktivieren möchten, stellen Sie sicher, dass Sie die Compliance-Prüfungen anpassen und die Regeln für den Zweigschutz konfigurieren.

Zugehörige Links

• Fehlerbehebung im Code Risk Analyzer
• Häufig gestellte Fragen zum Code Risk Analyzer