問題生命週期

問題生命週期從程式碼 PR 延伸至正式作業掃描。

使用案例 1: 建置中發現的漏洞

新建置會建立一個漏洞，但不接受此漏洞。 除非變更要求是手動核准的緊急 CR，否則會封鎖部署。

下圖說明了發現漏洞時的建立管道流程，以及相對應的使用者動作。

使用案例 2: 在建置中找到也在正式作業中的漏洞

新建置包含的漏洞也在目前已部署的正式作業中。 團隊有一個時間表來修正問題，但仍可以部署新的特性或修正程式。

CC 管線會設定時間表，以修正在正式作業中找到的任何此類漏洞。 只有在修正漏洞的時間表已過期時，它才會失敗。 流程如下圖所示。

在正式作業中找到的使用案例 2A: 漏洞容許 PR

正式作業中的漏洞不會阻止 PR 合併。

用例 3：誤報與豁免

若團隊將某個問題歸類為「誤報」，或針對某個漏洞收到安全豁免通知，則該問題可標記為「豁免」。 然後可以將問題當作非封鎖問題來處理。 如果要維護審核追蹤，變更要求會保持可見的問題。

使用案例 4: 自動關閉已修正的問題

定期執行 CC 管線可以關閉已開啟且已設定到期日的問題。 此外，在掃描中找不到相關漏洞。

下圖說明 CC 管線偵測要關閉哪些問題，以及要建立全新問題的流程圖。

常見的到期日情境

以下情境說明了如何管理截止日期：

• 初始截止日期指派：當 CC 流程在生產環境中發現問題時，會根據該問題的嚴重程度自動計算並設定截止日期。
• 延長截止日期：若您需要更多時間來解決問題，可在獲得資安聯絡人批准後延長截止日期。 詳情請參閱「延期還款期限」一文。
• 逾期問題：即使問題已逾期，只要新建構不會使生產環境狀況惡化，持續整合（CI）管道仍可繼續進行部署（這是一種純粹的風險管理方法）。 這使團隊在致力解決安全問題的同時，仍能持續推出新功能。

如需自訂寬限期的相關資訊，請參閱 在 CC 管線上配置自訂寬限期。

Code Risk Analyzer 探索到事件問題的標籤

Code Risk Analyzer (CRA) 可偵測多種類型的漏洞，例如應用程式相依關係及映像檔漏洞。

漏洞類型可以如下: name os、python、js、golang 或 java。

如果漏洞類型是 os 類型，則會將 os-vulnerability 標籤附加至問題。 對於任何其他類型的漏洞，會將 app-vulnerability 標籤附加至問題。

具有可用修正程式之發生事件問題的標籤

對於持續整合 (CI) 管線或持續相符性 (CC) 管線所建立的發生事件問題，掃描器可能具有補救資訊作為掃描結果的一部分。 如果補救資訊可用，則會將 fix-available 標籤新增至事件問題，並鏈結至問題說明內的修正程式說明。

缺少 fix-available 標籤並不表示問題無法採取行動，因為並非每個掃描器都在掃描結果中包含修正程式資訊。 掃描器會建議修正程式資訊，而該資訊來自掃描器取得此「修正程式」資料的任何地方。 部分掃描器可能沒有最新的「修正程式」字典，或未包含修正程式的資訊。

到期日計算

發現項目的日期是連續相符性 (CC) 管線執行並在正式作業環境中發現問題的時間。 如果問題存在，CC 會以從該時刻開始計算的 到期日 來更新它。

<due date> = <date of finding the issue in prod> + <grace period in days (determined by severity)>

到期日格式

到期日為 ISO 8601 格式，並顯示為 YYYY-MM-DD。

範例： Due Date: 2022-04-01

使用案例

• CC 管線在正式作業的其中一個基本映像檔中發現漏洞。 系統會通知團隊發生事件問題，並根據漏洞的嚴重性來設定寬限期。 寬限期是團隊必須部署修正程式的天數。

• 團隊建置具有新特性的新版本。 建置會尋找與用於應用程式的基本映像檔相關聯的 CVE。 團隊會手動執行 CC 管線，以掃描已在正式作業中的構件。 手動 CC 執行會在正式作業的相同應用程式中偵測相同的 CVE，並將「寬限期」新增至「發生事件問題」。 團隊現在可以建置及部署，而不會遭到封鎖。

CI 與 CC 管線中問題處理之間的差異

同時在 CI 及 CC 管線中建立發生事件問題:

• 在 CI 中建立的問題表示在建置期間找到該問題。
• 在 CC 中建立的問題表示在正式作業環境中找到它。

只有在「到期日」與正式作業環境中發現的問題相關時，才能自動新增至問題。 這表示僅容許 CC 管線將「到期日」新增至問題。 如果 CI 找到問題，且「到期日」無法使用，則「到期日」的值為 n/a。

將結果處理成問題

所發現問題的問題會根據特定工具的結果來建立。 collect-evidence Script 會嘗試處理附件中的結果檔案，並建立問題清單。

問題會連結至資產，這些資產可以是儲存庫中的確定或具有摘要的 Docker 映像檔。

每個問題 ID 都會建立一個問題-問題 ID 由下列元件組成:

• 連結資產
• 找到漏洞的工具
• 漏洞 ID (例如 CVE ID)

例如，如果由兩個個別工具找到 CVE-2022-001，則處理程序今天會產生兩個問題。

延長截止日期的流程

1. 請向您的資安聯絡人提出審查請求，並說明為何需要延長期限。
2. 獲得批准後，請更新截止日期：
   • 針對 Git Repos and Issue Tracking：請修改事件問題的元資料欄位中的「Due date」欄位。
   • 針對 GitHub Enterprise：請編輯問題描述中的「Due date」欄位。
3. 請在該問題中引用安全聯絡人的核准，方法是新增一則附有審查或核准文件連結的留言。

請務必參照問題中的安全焦點檢閱，例如在註解中提供其鏈結。

安全性例外情況

若您遇到與安全例外情況相關的問題，您可以將截止日期延長，使其與該例外情況的到期日一致。 這可確保證據蒐集與合規追蹤能持續妥善進行，直至該例外情況失效為止。