Configuration des examens

Pour générer le fichier SBOM, une analyse de Code Risk Analyzer accède aux artefacts dans le chemin de répertoire spécifié et effectue une reconnaissance approfondie pour identifier toutes les dépendances, y compris les dépendances de type trasitive. Aucune variable d'environnement de pipeline spécifique n'est nécessaire pour générer le fichier SBOM et détecter les vulnérabilités, mais si le chemin contient un fichier Dockerfile, l'image de base est extraite et les images sont générées pour chaque étape de génération spécifiée dans le fichier.

Si votre fichier Dockerfile requiert ARGS, définissez un fichier ARG individuel en tant que variable d'environnement dans un script personnalisé et indiquez l'emplacement du script personnalisé en tant que pipeline pouvant être apparié.

Pour plus d'informations, voir Scripts personnalisés

Par défaut, les fichiers Terraform ne sont pas analysés. Pour analyser votre fichier Terraform, vous devez définir les variables d'environnement de pipeline suivantes.

L'analyse de Code Risk Analyzer utilise la clé d'API fournie pour se connecter à l'interface de ligne de commande IBMCloud et déclenche une génération Docker. La session d'interface de ligne de commande IBM Cloud existante continue d'être utilisée pour le reste de cette étape CRA. Toutefois, la session de l'interface de ligne de commande IBM Cloud expire au bout de 20 minutes pour une connexion par clé d'API standard. Si le processus de génération prend plus de 20 minutes, l'étape CRA échoue avec un message d'erreur 401 car la session a expiré. Une variable d'environnement ibmcloud-enable-session-keep-alive a été introduite pour maintenir la session de l'interface de ligne de commande IBMCloud active pendant de longues opérations.

Par défaut, la commande deployment-analyze de Code Risk Analyzer exécute des vérifications de configuration sur les manifestes de déploiement Kubernetes. La commande deployment-analyze de Code Risk Analyzer s'exécute avec le jeu d'options --strict. Pour ignorer les fichiers lors du déploiement de Code Risk Analyzer-analyse, la variable d'environnement suivante doit être utilisée.

Omission des vulnérabilités pour le déploiement de votre application

L'analyseur de risque de code est conçu pour trouver les paquets vulnérables avant qu'un comité consultatif ne le fasse. Dans des circonstances exceptionnelles, vous devrez peut-être déployer votre application même si des packages vulnérables ont été détectés et n'ont pas encore été corrigés. Dans la mesure du possible, vous devez mettre à jour les packages ou les supprimer avant de redéployer votre code.

Pour ignorer des fichiers spécifiques et terminer votre envoi en production, vous pouvez créer un fichier appelé .cra/.cveignore dans la racine du référentiel analysé avec le schéma suivant:

[
  {
    "cve": "string",
    "alwaysOmit": "bool",
    "untilRemediationAvailable": "bool",
    "expiration": "string"
  },
]

Le fragment de code suivant montre un exemple de fichier .cveignore :

[
  {
    "cve": "CVE-2021-27290",
    "alwaysOmit": true
  },
  {
    "cve": "CVE-2020-8244",
    "untilRemediationAvailable": true,
  },
  {
    "cve": "CLAIR-JAVA-ORGAPACHEHTTPCOMPONENTS-31517",
    "expiration": "2022-02-10T22:08:41+04:00",
    "comment": "Additional security measures are in place"
  }
]

Ce fichier s'appelait auparavant .craveomit. Le format de fichier d'origine a été déprécié et remplacé par .cra/.cveignore. Mettez à jour votre code pour utiliser le fichier le plus récent.

Vous pouvez en savoir plus sur les documents du plug-in de Code Risk Analyzer ou consulter les documents CRA obsolètes.

Correction automatique des vulnérabilités

Vous pouvez utiliser Code Risk Analyzer dans le cadre du pipeline Continuous Compliance (CC) pour non seulement rechercher des vulnérabilités, mais également les corriger automatiquement. Code Risk Analyzer fonctionne dans le cadre de l'étape compliance-check du pipeline. Par défaut, la correction automatique est désactivée.

La résolution automatique est disponible uniquement pour le pipeline CC.

Lorsque la résolution automatique est activée, Code Risk Analyzer tente de mettre à jour un package vulnérable vers une version non vunlnerable en créant une demande d'extraction avec les correctifs identifiés par rapport à la branche par défaut de votre référentiel. Par défaut, Code Risk Analyzer met à jour les versions mineures et les versions de correctif pour le package vulnérable principal ainsi que les packages dépendants, mais ne met pas à jour la version majeure d'un package. Si la demande d'extraction est acceptable, vous pouvez l'approuver et la fusionner manuellement. Chaque fois que le pipeline est exécuté, une nouvelle demande d'extraction est générée. Par conséquent, veillez à vérifier et à fusionner à mesure qu'ils sont ouverts afin d'éviter les doublons.

La résolution automatique est disponible pour les référentiels Enterprise GitHub et GitLab et peut modifier les fichiers spécifiés dans le tableau suivant.

Pour commencer à corriger automatiquement les vulnérabilités, définissez les variables d'environnement facultatives suivantes pour votre pipeline.

Désactivation des analyses de Code Risk Analyzer

Définissez les variables d'environnement suivantes pour désactiver les analyses de Code Risk Analyzer.

Par défaut, l'analyse des vulnérabilités et l'analyse du déploiement sont définies comme des contrôles obligatoires pour la protection des succursales. Si vous souhaitez désactiver l'une ou l'autre de ces analyses, veillez à personnaliser les contrôles de conformité et à configurer les règles de protection des branches.

Liens connexes

• Débogage de Code Risk Analyzer
• Questions fréquemment posées sur Code Risk Analyzer