Arquitectura de comando CLI

La funcionalidad collect-evidence está disponible a través de dos interfaces:

1. Shell Script Wrapper (collect-evidence): Interfaz de script bash tradicional que proporciona compatibilidad con versiones anteriores
2. Comando CLI directo (cocoa locker evidence collect): Interfaz CLI nativa con acceso a todas las funciones

Uso

El script collect-evidence requiere los parámetros siguientes:

• --tool-type El ID de la herramienta que proporciona datos de pruebas. Por ejemplo: «owasp-zap-ui», «cra»
• --evidence-type El identificador del tipo de prueba. Por ejemplo: com.ibm.image_vulnerability_scan, com.ibm.unit_tests
• --asset-key La clave en los activos de pipelinectl. Para los mandatos siguientes load_artifact <key> o load_repo <key>
• --asset-type El tipo de activo de pipelinectl y puede ser uno de los tipos siguientes: repo, artifact
• --status El estado de las pruebas y puede ser uno de los siguientes: success, pending, failure
• --assets Especifique varios pares de clave de activo y tipo de activo. Por ejemplo, puede utilizar --assets asset-key1:asset-type1 --assets asset-key2:asset-type2. Si utiliza esta opción, no especifique la clave de activo y el tipo de activo por separado.

El siguiente parámetro es opcional:

• --attachment El archivo que se procesará como resultado y se adjuntará a las pruebas. El parámetro se puede especificar varias veces para varios archivos. Para la firma de imágenes, asegúrese de que se adjunta el archivo de firma utilizando el parámetro --attachment. El archivo de firma debe incluir los detalles de la firma, como el ID de la clave, el algoritmo y el resumen firmado. Los formatos más habituales son JSON o TXT.
• --meta Metadatos arbitrarios que se añadirán a las pruebas. El parámetro acepta pares 'clave = valor' y se puede especificar varias veces. Puede incluir metadatos relevantes para el proceso de firma de la imagen, como el entorno de firma o cualquier configuración específica utilizada durante la firma.
• --additional-comment El comentario que se añade a un problema si una interconexión ha fallado.

Utiliza el siguiente comando para obtener ayuda:

collect-evidence --help

# example on how to read the output into a variable in bash
read -r status < <(collect-evidence "${evidence_params[@]}")
echo $status # success

collect-evidence-version=v2

cocoa locker evidence collect \
  --tool-type "sonarqube" \
  --evidence-type "com.ibm.static_scan" \
  --assets "app-repo:repo" \
  --status "success" \
  --attachment ./sonarqube-result.json \
  --pipeline-run-id "${PIPELINE_RUN_ID}" \
  --pipeline-namespace "ci" \
  --incident-org "my-org" \
  --incident-repo "compliance-issues"

cocoa locker evidence collect \
  --tool-type "detect-secrets" \
  --evidence-type "com.ibm.detect_secrets" \
  --assets "app-repo:repo" \
  --status "success" \
  --pipeline-run-id "${PIPELINE_RUN_ID}" \
  --pipeline-namespace "ci" \
  --incident-org "my-org" \
  --incident-repo "compliance-issues"

cocoa locker evidence collect \
  --tool-type "va" \
  --evidence-type "com.ibm.cloud.image_vulnerability_scan" \
  --assets "image-0:artifact" \
  --status "success" \
  --pipeline-run-id "${PIPELINE_RUN_ID}" \
  --attachment image-0_va-report.json \
  --pipeline-namespace "ci" \
  --incident-org "my-org" \
  --incident-repo "compliance-issues"

collect-evidence \
  --tool-type "sonarqube" \
  --evidence-type "com.ibm.static_scan" \
  --asset-type "repo" \
  --asset-key "app-repo" \
  --status "success" \
  --attachment ./sonarqube-result-1.json \
  --attachment ./sonarqube-result-2.json \
  --meta environment=staging

collect-evidence \
  --tool-type "ciso-code-signing" \
  --evidence-type "com.ibm.cloud.image_signing" \
  --asset-type "artifact" \
  --asset-key "signed-image" \
  --status "success" \
  --attachment ./signature.json \   # The signature details in JSON format
  --attachment "./${artifact}.fingerprint" \ #  The fingerprint is a hash value generated from the artifact, ensuring integrity and authenticity.
  --meta environment=production

cocoa locker evidence collect \
  --tool-type "sonarqube" \
  --evidence-type "com.ibm.static_scan" \
  --assets "app-repo:repo" \
  --status "success" \
  --attachment ./sonarqube-result.json \
  --pipeline-run-id "${PIPELINE_RUN_ID}" \
  --pipeline-namespace "ci" \
  --incident-org "my-org" \
  --incident-repo "compliance-issues"

Formatos de herramienta soportados

La implementación actual actualmente da soporte a las herramientas siguientes (proporcionadas como parámetro --tool-type ):

CycloneDX Metadata utiliza la detección de herramientas para la gestión de incidencias.

Si se llama al script collect-evidence con un tipo de herramienta que no está soportado, el script no intenta procesar los archivos adjuntos. Además, el manejo de problemas se omite y la recopilación de pruebas no se detiene.

Si el script proporciona un archivo adjunto desde una herramienta soportada, pero el archivo adjunto no se puede procesar, el manejo de problemas se omite y la recopilación de pruebas no se detiene.

Tipo de prueba

Puede establecer el tipo de pruebas utilizando el parámetro --evidence-type. Puede establecer cualquier tipo, pero IBM Cloud® Compliance Manager da soporte a los siguientes tipos de pruebas:

• com.ibm.unit_tests
• com.ibm.detect_secrets
• com.ibm.branch_protection
• com.ibm.static_scan
• com.ibm.code_vulnerability_scan
• com.ibm.code_bom_check
• com.ibm.code_cis_check
• com.ibm.cloud.image_vulnerability_scan
• com.ibm.cloud.image_signing
• com.ibm.dynamic_scan
• com.ibm.cloud.image_signing
• com.ibm.acceptance_tests
• com.ibm.prod_change_request
• com.ibm.close_change_reques

Recopilación de tipos de pruebas y cartografía de herramientas

Cuando falla un escaneado o cuando no se pueden analizar los archivos adjuntos, la herramienta crea automáticamente una incidencia sin incidencias para rastrear el fallo.

Requisitos de activos

Las pruebas que se recopilan con esta herramienta forman parte del trabajo de recopilación de pruebas de V2 y de las actualizaciones del casillero de pruebas relacionadas.

Este nuevo método se centra en las pruebas basadas en activos, lo que significa que las pruebas están conectadas al artefacto y al repositorio a través de las exploraciones y pruebas que se ejecutan en dichos artefactos o repositorios, y que han generado resultados para las pruebas. Por ejemplo:

• Un repositorio con una determinada confirmación se convierte en un activo de confirmación, que se explora, creando pruebas para el activo de confirmación.
• Utilizando el mismo repositorio y confirmación, se crea una imagen. La imagen se convierte en un activo relacionado con el activo de origen, el repositorio y la confirmación.
• La imagen se explora y se crean pruebas. Todos los resultados de exploración se conectan a través de las pruebas, su activo y los activos relacionados.

Para que todo esto funcione conjuntamente, los activos que se proporcionan con los parámetros --asset-type y --asset-key deben cumplir algunos requisitos:

Varios activos en recopilación-pruebas

Mediante el uso de las pruebas de recopilación, puede configurar la recopilación simultánea de pruebas para varios activos. La recopilación de pruebas se inicia utilizando el distintivo --assets, que especifica varios pares de clave de activo y tipo de activo. Por ejemplo, input --assets asset-key1:asset-type1 --assets asset-key2:asset-type2. Si elige esta opción, no indique la clave de activo y el tipo de activo por separado.

Recuerde estos puntos clave sobre la colección de varios activos:

• status, attachment, tool-type, evidence-type y upload-logs son constantes en todos los activos.
• De forma predeterminada, cuando designa varios activos, el proceso de pruebas sigue el flujo heredado. Si especifica un único activo, el proceso de pruebas se produce a través de un flujo específico de la herramienta o adjunto.
• En caso de anomalía, se crean problemas por activo. Estos problemas se cierran cuando se vuelve a ejecutar correctamente la recopilación de pruebas. El cierre se correlaciona con los activos que ha especificado.
• Se genera un archivo de pruebas singular, que cuenta con un ID que engloba todos los activos combinados.