サードパーティのセキュリティ関連の検出結果をインポートする

サードパーティの静的分析ツールまたは脆弱性スキャンツールをすでに使用している場合は、検出結果を CodeMender に直接インポートして、検証とパッチ適用をすぐに開始できます。

セキュリティ レポートをインポートする

CodeMender は外部のセキュリティ レポートを解析し、検出結果をローカル データベースに登録します。

JSON 検出結果ファイルをインポートする

JSON ファイルから検出結果をインポートするには、--file（または -f）フラグを使用します。JSON ファイルは次のスキーマに準拠している必要があります。

[
  {
    "file_path": "src/auth/session_manager.py",
    "line": 42,
    "title": "SQL Injection",
    "message": "Raw user input concatenated in SQL query",
    "severity": "HIGH",
    "vuln_type": "CWE-89"
  }
]

インポート コマンドを実行します。

cm report import --file ./findings.json

インタラクティブ インポート モード

JSON ファイルがない場合は、--file フラグを指定せずにインポート コマンドを実行して、ターミナルでインタラクティブ ウィザードを開くことができます。

cm report import

プロンプトに従って、各検出結果のパス、行番号、重大度、説明を入力します。プロンプトが表示されたら q と入力して終了し、保存します。

インポートした検出結果を処理する

外部の検出結果をインポートしたら:

  1. cm report を実行して、登録されている検出結果のリストを表示し、生成された <finding-id> 値を取得します。
  2. インポートした検出結果に対して検証を実行して、概念実証のエクスプロイトを生成します。 
    cm verify FINDING_ID
  3. 検出結果のセキュリティ パッチを生成して検証します。 
    cm fix FINDING_ID