Работа с проблемами и дефектами безопасности

Когда выполнение сканирования в Security Pipeline завершается, результаты тестирования безопасности, полученные во время запуска этого пайплайна, автоматически импортируются из инструментов AST в AppSec.Hub. Их следует проанализировать и обработать. Это задачу выполняет Инженер ИБ.

Результаты сканирования безопасности собираются, упорядочиваются и анализируются в AppSec.Hub. Здесь выполняется автоматический анализ выявленных проблем безопасности (security issues) в контексте истинно/ложноположительных проблем на основе модели машинного обучения, встроенной в систему. Для схожих истинно положительных результатов следует задокументировать один и тот же статус, а также рекомендации, предположения о причинах возникновения и меры по устранению. Выявленные проблемы безопасности AppSec.Hub группирует на основе реализованной в системе корреляционной модели. В результате аналогичные истинно-позитивные проблемы получают в системе одинаковый статус и рекомендации по устранению.

В процессе работы проблемы безопасности, найденные инструментами AST, объединяются в дефекты безопасности (security defects). Несколько схожих друг с другом проблем безопасности можно сгруппировать в один дефект безопасности, присвоить этому дефекту значения Priority и Severity и экспортировать дефект безопасности из AppSec.Hub в систему отслеживания дефектов (Jira) для дальнейшей обработки со стороны команды разработчиков.

Рабочее пространство и проект для дефекта безопасности определяются на основе настроек приложения и конфигурации управления дефектами, выполненных в AppSec.Hub на более ранних этапах работы, подробности приведены ниже в разделе «Синхронизация с Jira — настройки». Когда команда разработчиков исправила дефект со своей стороны, AppSec.Hub анализирует произведенные изменения кода и результаты вновь проведенного сканирования безопасности и проверяет, был ли дефект действительно исправлен. Кроме того, система анализирует историю проведенных сканирований и окончательно подтверждает тот факт, что проблема безопасности была исправлена должным образом.

AppSec.Hub предоставляет интуитивно понятный интерфейс, который позволяет просматривать и группировать проблемы безопасности, создавать, фильтровать и верифицировать дефекты безопасности, а также синхронизировать дефекты безопасности с системой отслеживания дефектов.