SonarQube Անվտանգության Զեկույցների Գրադարան

Ընդհանուր տեսություն

SonarQube անվտանգության հաշվետվությունների գրադարանըը Pro​cureize AI հարթակի հիմնական բաղադրիչն է, որը պահում, ինդեքսավորում և բացահայտում է SonarQube‑ի անվտանգության հաշվետվությունները երկարաժամկետ հասանելիության և վերլուծության համար։ Գրադարանը օպտիմիզացված է ավտոմատ ներմուծման, արտադրանքի և տարբերակի կողմից կառուցված կազմակերպված կառուցվածքի, ինչպես նաև UI‑ի միջոցով և արտահանումների պատճառով ներքևի կոդերի օգտագործման համար։

Գրադարանը աջակցում է SonarQube-ի առաջացված անվտանգության հաշվետվություններին և հաճախ օգտագործվում է CI/CD, ծրագրային ապահովման անվտանգության և համատեսակության աշխատաուղղություններում։

Աջակցված հաշվետվությունների տեսակներ

Գրադարանը ընդունում և պահում է հետևյալ SonarQube‑ի անվտանգության հաշվետվությունների տեսակները՝

• OWASP Top 10
• CWE Top 25

Յուրաքանչյուր հաշվետվություն կապված է որոշված արտադրանքի և արտադրանքի տարբերակի հետ և պահվում է մետադաշտերով, որոնք անհրաժեշտ են ֆիլտրացման, հավաքագացման և պատմական վերլուծության համար։

Տվյալների մոդել և կազմակերպություն

Արտադրանքներ և խմբեր

Հաշվետվությունները կազմակերպված են շարահյուսական մոդելով.

• Արտադրանք
  Ներկայացնում է առանձին ծրագիր կամ ծառայություն։

• Արտադրանքի խումբ
  Նախորոշված է համակցված արտադրանքների տրամաբանական խմբը։

Արտադրանքների և նրանց խմբերի շերտավորությունը սահմանված է հարթակի կոնֆիգուրացիայում։ Կոնֆիգուրացիայի մասին մանրամասները կարելի է գտնել Ինչպես կարգավորել անվտանգության հաշվետվությունները էջում:

Հաշվետվության մետա-տվյալներ

Յուրաքանչյուր պահպանված հաշվետվություն պարունակում է հետևյալ մետա‑տվյալները՝

• Արտադրանքի անվանում
• Արտադրանքի տարբերակ
• Հաշվետվության տեսակ
• Սքանի կատարման ամսաթիվ
• Հաշվետվության վերբեռնման ամսաթիվ
• Խոցելիությունների ընդհանուր թիվ
• Ընդհանուր խոցելիության դասակարգում

Այս մետա‑տվյալները օգտագործվում են վահանակի պատկերագրման, ֆիլտրացման, արտահանման և API‑ով համագործակցման համար։

Վահանակի ներկայացում

Անվտանգության հաշվետվությունների տեսք

Պահված հաշվետվությունները ցուցադրվում են Procurize AI‑ի վահանակի տակ.

Compliance → Security report

• Արտադրանքները պատկանում են առանձին քարտեր։

• Յուրաքանչյուր արտադրանքի քարտում գտնվում է աղյուսակ, որը ցույց է տալիս վերջին հաշվետվությունները յուրաքանչյուր հաշվետվության տեսակին համապատասխան։

• Աղյուսակը արտոնագրում է՝

  • Սքանի ամսաթիվ
  • Վերբեռնման ամսաթիվ
  • Խոցելիությունների քանակ
  • Ընդհանուր խոցելիության դասակարգում

Այս ձևաչափը ցույց է տալիս յուրաքանչյուր արտադրանքի ամենավերջին ներմուծման վիճակը։

Համառոտ Վիզուալիզացիա

Home վահանկի էջը ցույց է տալիս գրադարանի ընդհանուր տվյալները՝

• Սյունապատ գրաֆիկաներ՝ հաշվետվությունների թիվը յուրաքանչյուր արտադրանքի տարբերակի համար։
• Գրաֆիկաները դասավորված են հաշվետվությունների տեսակը ըստ։
• Տալով է ընդհանրացված ակնարկ սքանի ծածկույթի և հաշվետվության ակտիվության մասին։

Հաշվետվությունների հասանելիություն և արտահանում

Դիտողություն

Գրադարանից պահպանված հաշվետվությունները կարելի է ցույց տալ ուղիղ զննարկչում՝ վերանայում համար։

Արտահանումների ձևաչափեր

Աջակցված արտահանումների ձևաչափերը են.

• HTML
• PDF
• ZIP արխիվ, որը պարունակում է բոլոր աջակցված ձևաչափերը

Խմբային արտահանումներ

Գրադարանը աջակցում է խմբային արտահանումների գործողություններին.

• ZIP արխիվ, որի մեջ են բոլոր հաշվետվությունները մեկ արտադրանքի համար
• ZIP արխիվ, որի մեջ են հաշվետվությունները արտադրանքի խմբի և նրա ենթաարտադրանքների համար

Խմբային արտահանումները սովորաբար օգտագործվում են աուդիտի ապահովման, հաճախորդների կրիտերիա և համատեսակության ներկայացումների համար:

Պատմական հաշվետվություններ

Յուրաքանչյուր հաշվետվության տեսակի համար, գրադարանն պահպանում է ամբողջական պատմական գրանցում.

• Բոլոր նախորդ հաշվետվությունները հասանելի են
• Պատմական հաշվետվությունները դասավորված են ըստ արտադրանքի և տարբերակի
• Ստեղծվում է երկարաժամկետ վերլուծություն անվտանգության հանդիպումների համար

Պատմական տվյալները մատչելի են UI‑ի միջոցով՝ «Նախորդ հաշվետվությունների ցուցակ» տեսմամբ:

Հաշվետվության ներմուծում

REST API ինտեգրում

Հաշվետվությունները ներմուծվում են գրադարանում՝ օգտագործելով REST‑բազով ինտերֆեյս, որը նախատեսված է ավտոմատացման համար.

• Աջակցում է CI/CD‑driven վերբեռնումներին
• Արդյունք է տալիս դարձված, կրկնակիր հաշվետվությունների ներմուծում
• Հեռացնում է ձեռքով ֆայլների կառավարման անհրաժեշտությունը

API‑ի բնութագրերն առկա են SonarQube հաշվետվությունների API-ում:

Հնարավոր օգտագործման դեպքեր

• Կենտրոնացված պահոց SonarQube անվտանգության հաշվետվությունների համար
• Տարբերակ‑գիտակցական անվտանգության տրենդների վերլուծություն
• Համատեսակություն և աուդիտների ապահովում
• CI/CD պիպլայններից ավտոմատ ներմուծում
• Պորտֆոլիոն‑պատմական անվտանգության տեսանելիություն

Նազություններ

• Ինչպես կարգավորել անվտանգության հաշվետվությունները
• SonarQube հաշվետվությունների API

Նման հոդվածներ

Ի՞նչ են անվտանգության հաշվետվությունները?

OWASP Top 10 առավել կարևոր վեբ‑ածորածքների անվտանգության ռիսկերը

CWE Top 25 առավել վտանգավոր ծրագրային ապահովման թերավորությունները