ייבוא ממצאים בנושא אבטחה מצד שלישי

אם אתם כבר משתמשים בכלים של צד שלישי לניתוח סטטי או לסריקת פגיעויות, אתם יכולים לייבא את הממצאים ישירות אל CodeMender כדי להמשיך מיד לאימות ולתיקון.

ייבוא דוחות אבטחה

‫CodeMender מנתח דוחות אבטחה חיצוניים ורושם את הממצאים במסד הנתונים המקומי שלו.

ייבוא קובץ ממצאים בפורמט JSON

כדי לייבא ממצאים מקובץ JSON, משתמשים בדגל --file (או -f). קובץ ה-JSON צריך להיות בהתאם לסכימה הבאה:

[
  {
    "file_path": "src/auth/session_manager.py",
    "line": 42,
    "title": "SQL Injection",
    "message": "Raw user input concatenated in SQL query",
    "severity": "HIGH",
    "vuln_type": "CWE-89"
  }
]

מריצים את פקודת הייבוא:

cm report import --file ./findings.json

מצב ייבוא אינטראקטיבי

אם אין לכם קובץ JSON, אתם יכולים להריץ את פקודת הייבוא בלי הדגל --file כדי להזין אשף אינטראקטיבי במסוף:

cm report import

פועלים לפי ההנחיות כדי להזין את הנתיב, מספר השורה, רמת החומרה והתיאור של כל ממצא. כדי לסיים ולשמור, מזינים q בכל הנחיה.

עיבוד הממצאים המיובאים

אחרי שמייבאים ממצאים חיצוניים:

  1. מריצים את הפקודה cm report כדי לראות את רשימת הממצאים הרשומים ולקבל את הערכים שנוצרו <finding-id>.
  2. מריצים אימות על ממצא שיובא כדי ליצור הוכחת היתכנות של ניצול לרעה: 
    cm verify FINDING_ID
  3. יצירה ואימות של תיקון אבטחה לממצא: 
    cm fix FINDING_ID