證明
證據蒐集是 DevSecOps 參考架構的核心要素之一。 法規遵循證明會建立審核員在法規遵循審核期間所尋找的審核追蹤。 DevSecOps 的目標之一，是在可稽核的證據保管庫中實現證據的自動生成與儲存。
DevSecOps 管道處理證據（檔案格式和鎖定結構）的方式是：
- v2 證明 (資產型證明)
證明建立
證明不同於管線階段步驟 (例如單元測試結果或 XML 或 JSON 檔案) 所建立的構件。 每一項作業都必須向數個工具報告，以處理證明，例如建立、格式化及儲存證明。
任何通用測試、檢查或掃描都可以透過使用DevSecOps工具或管道中的步驟在管道階段產生證據，如下圖所示。 DevSecOps工具必須能夠接收任務結果、建立證據，然後將其儲存在證物櫃中。
證明格式包含作業的結果 (傳遞或失敗)、所建立構件的鏈結，以及根據作業結果所建立之任何事件問題的鏈結。
這些工具僅聚焦於證明收集，而不會變更建置程序的行為。 DevSecOps 參考管道不會因任務結果失敗而中斷。 如果存在檢查及失敗的證明、通知團隊、部署期間建立的變更要求顯示這些問題的證明，以及手動核准變更要求，則可以建置及部署具有失敗測試及漏洞的映像檔。
證明流程
下圖顯示如何處理證明，以及它如何在連續整合及連續部署的階段中流動。
在「DevOps 架構」的不同階段收集的每一個證明片段都儲存在可審核的證明鎖定器中。 在部署期間，會收集此證明，以建立在部署執行結束時儲存至證明櫃的證明摘要。
證明摘要會附加至變更要求，而變更要求會公佈至變更要求儲存庫。 在手動變更要求核准期間，核准者會知道在建置期間發現的任何問題。
v2 證明 (現行格式)
v2 證明櫃
證據以平面層級結構儲存，每件證據都以自己的 SHA256 hash 來識別，這提供了一層完整性保護 (也就是說，證據內容的任何修改都能被偵測出來)。 由於每項證據都與一項或多項資產相關，因此證據摘要演算法會根據資產發現相關證據。
唯一階層是類型區分及部分雜湊分組，類似於 Git 雜湊物件的結構。
範例
.
└── raw/
├── assets/
│ └── xx/
│ └── abcdef123456789/
│ ├── evidences/
│ │ ├── 00abcdef123456789
│ │ └── 01abcdef123456789
│ └── index.json
├── attachments/
│ ├── aa/
│ │ └── abcdef123456789/
│ │ └── content
│ └── ab/
│ └── abcdef123456789/
│ └── content
├── cd/
│ ├── c9b77749-fd59-4d32-bbdb-18e55db1615d/
│ └── summary.json
| └── evdience-checks.json
├── cc/
│ ├── absd7749-fd59-4d32-bbdb-18e55db1615d/
│ └── summary.json
| └── evdience-checks.json
└── evidences/
├── 00/
│ └── abcdef123456789/
│ └── index.json
└── 01 /
└── abcdef123456789/
└── index.json
v2 證明集合
必須儘可能接近為證明建立結果的程序收集 v2 證明。 在每次掃描執行之後，例如在每次測試之後。
為了收集證據，可以在DevSecOps管道中使用 收集證據 腳本。
v2 證明格式
一段證明代表掃描、測試等的結果。 證明一律至少連接至單一資產。 容許多個資產，例如可能同時測試多個資產的單一端對端測試套組。
資產代表您可以測試、掃描等的項目，例如儲存庫中的 Git commit、Docker image 或任何具有 URI 的 generic 資產。
Evidence 和 Asset 類型代表 v2 locker 元素的綱目: 證明和資產。 雖然綱目使用 typescript 語法，但您可以將它轉換為使用 JSON 綱目。
type SHA1 = string; // 40 character string representing a SHA-1 hash in hexadecimal format
type SHA256 = string; // 64 character string representing a SHA256 hash in hexadecimal format
type IssueURL = string; // Link to issues on a git service provide like GitHub or GitLab
type RepositoryURL = string; // Link to a git repository
type AssetURI = string; // URI of an Asset, like an image or a repository link and git hash
type FileName = string; // file basename of the attachment
interface Evidence {
version: 2;
id: SHA256;
date: string;
evidence_type_id: string;
evidence_type_version: string;
origin: {
// scope defines a contextual set for multiple evidence, usually a SHA256 identifier or a CI/CD run ID
scope: SHA256;
// any further IDs can be used to determine evidence origin, see example
[index: string]: string;
},
details: {
result: 'success' | 'failure' | 'pending';
tool: string;
// field "details" can have any arbitrary key-value pairs to provide metadata
[index: string]: string;
}
attachments: Record<string, string> | EvidenceAssetAttachment[];
assets: string[] | EvidenceAssetAttachment[];
issues: IssueURL[],
findings?: IncidentFinding[];
}
export interface IncidentFinding {
id: string;
url: string;
due_date: string;
first_found?: string;
severity: ("high", "medium", "low", "critical, "informational");
has_exempt: boolean;
found_status: ("new", "existing", "autoclosed", "readonly");
}
export interface EvidenceAssetAttachment {
url: string; // hash of the asset or attachment
hash: string; // complete url of the asset or attachment
uri?: string; // name of the asset
}
interface Asset {
version: 1;
id: SHA256;
uri: AssetURI;
date: string;
type: 'commit' | 'image' | 'generic';
origin: {
// any IDs can be used to determine asset origin, see example
[index: string]: string;
},
details: Record<string, string>,
// Assets can relate to each other, for example
// an Image Asset can relate to the Git Commit Asset
// it was built from on code level
related: SHA256[];
}
範例
範例 v2 資產
{
"version": "1",
"id": "cdd3ee20188d2f5bfb7f14bdb9c7fa99b22184ca195d9fa0a953dfbe9b1769cb",
"uri": "https://github.com/<org-name>/e2e-hello-compliance-app-20220412084808399.git#8c2a65373cb4fd27bccff646e8bdf63d02cae856",
"origin": {
"toolchain_crn": "crn:v1:bluemix:public:toolchain:us-south:a/40111714589c4f7099032529b26a7a63:fd3f2bf6-00f1-417f-b1a2-7df894223115::",
"pipeline_run_id": "a5e89ecc-a413-4dcb-b129-ff870ef3be85",
"pipeline_id": "66b583d9-3d1b-4b34-9e3a-cb807bf0c5ab"
},
"details": {
"sha": "8c2a65373cb4fd27bccff646e8bdf63d02cae856",
"repository": "https://github.com/<org-name>/e2e-hello-compliance-app-20220412084808399.git"
},
"date": "2022-04-20T09:26:46.226Z",
"type": "commit",
"related": [
"26a0f02126461e6505d5001d50ac71e585c280479a01cc70e36397a784440bf8"
]
}
範例 v2 證明
{
"version": "2",
"id": "3fd209270fbaf46137ec3966affac2a431a835e750301c7c44d583e0e426e29e",
"date": "2022-04-20T09:33:43.782Z",
"evidence_type_id": "com.ibm.code_vulnerability_scan",
"evidence_type_version": "1.0.0",
"details": {
"result": "failure",
"tool": "cra"
},
"origin": {
"toolchain_crn": "crn:v1:bluemix:public:toolchain:us-south:a/779c0808c946b9e15cc2e63013fded8c:68213c68-4794-4d5e-ab50-f33d0d6190e4::",
"pipeline_id": "c17f18a6-24dd-4949-abb7-2b374f4691b6",
"pipeline_run_id": "d7a88836-72a1-402b-bb28-701439a543ae",
"pipeline_run_url": "https://cloud.ibm.com/devops/pipelines/tekton/c17f18a6-24dd-4949-abb7-2b374f4691b6/runs/d7a88836-72a1-402b-bb28-701439a543ae/code-compliance-checks/run-stage/?env_id=ibm:yp:us-south",
"scope": "117458e26512b0308d93cf6852958e5e875294a982d2b4ea2e9f463b4551a846"
},
"assets": [
{
"hash": "cdd3ee20188d2f5bfb7f14bdb9c7fa99b22184ca195d9fa0a953dfbe9b1769cb",
"uri": "https://github.com/<org-name>/e2e-hello-compliance-app-20220412084808399.git#8c2a65373cb4fd27bccff646e8bdf63d02cae856",
"url": "https://s3.private.us-south.cloud-object-storage.appdomain.cloud/test/assets/cdd3ee20188d2f5bfb7f14bdb9c7fa99b22184ca195d9fa0a953dfbe9b1769cb/index.json"
}
],
"issues": [
"https://github.com/<org-name>/e2e-compliance-incident-issues-20220412084808401/issues/1",
"https://github.com/<org-name>/e2e-compliance-incident-issues-20220412084808401/issues/2",
"https://github.com/<org-name>/e2e-compliance-incident-issues-20220412084808401/issues/3",
],
"findings": [
{
"id": "CVE-2022-42011",
"due_date": "2024-04-20",
"severity": "medium",
"first_found": "2024-03-06",
"url": "https://github.com/<org-name>/e2e-compliance-incident-issues-20220412084808401/issues/3",
"found_status": "new",
"has_exempt": true
},
{
"id": "CVE-2022-42010",
"due_date": "2024-04-20",
"severity": "medium",
"first_found": "2024-03-06",
"url": "https://github.com/<org-name>/e2e-compliance-incident-issues-20220412084808401/issues/1",
"found_status": "existing",
"has_exempt": false
},
{
"id": "CVE-2023-34969",
"due_date": "2024-04-20",
"severity": "medium",
"first_found": "2024-03-06",
"url": "https://github.com/<org-name>/e2e-compliance-incident-issues-20220412084808401/issues/2",
"found_status": "existing",
"has_exempt": true
}
],
"attachments": [
{
"hash": "9a841ef856a5de813dbe440b102b9bff3ca1831630292cff7323c557704f386b",
"url": "https://s3.private.us-south.cloud-object-storage.appdomain.cloud/test/assets/9a841ef856a5de813dbe440b102b9bff3ca1831630292cff7323c557704f386b/index.json"
}
]
}
v2 證明摘要
DevSecOps管道建立證據摘要文件。 此文件包含在部署映像檔的每一個連續整合建置期間建立的最新所有證明，以及在部署本身期間建立的證明。 會針對部署任何階段所需的變更要求建立摘要。
interface Summary {
version: '2.0'; // schema version
date: string; // ISO-8601, UTC, ie. YYYY-MM-DDThh:mm:ssZ
toolchain_crn: string; // CRN of the toolchain that generated the summary
pipeline_id: string; // ID of the pipeline that generated the summary
pipeline_run_id: string; // ID of the pipeline run that generated the summary
evidences: Evidence[];
}
此摘要不會執行任何結果聚集。 這是收集到的原始數據，來自 v2 證據，這些證據是針對與變更請求相關的資產所發現的。