Couverture du Scanner¶

La page de Couverture du Scanner sert de tableau de bord centralisé pour surveiller l'état de la Couverture du Scanner de vos organisations. Elle améliore votre capacité à gérer et à améliorer la posture de sécurité de vos applications. En fournissant des informations sur la couverture des mesures de sécurité dans vos dépôts, la page de Couverture du Scanner permet aux équipes d'identifier et de traiter efficacement les éventuelles lacunes de sécurité.

Elle offre une vue d'ensemble complète de l'état des provisionnements, des types de politiques, des organisations et des détails de couverture manquante.

Fonctionnalités Clés¶

Compte¶

La section Compte offre aux utilisateurs une visibilité complète et des capacités de gestion à travers toutes les organisations pour les outils de Gestion de Code Source (SCM) associés à leur compte entier. Elle sert de hub centralisé pour surveiller la Couverture du Scanner et les informations sur les dépôts.

L'un des principaux objectifs de cette section est de permettre aux utilisateurs de définir des politiques pour l'ensemble du compte qui se propagent automatiquement à tous les actifs associés à leur compte. Cela élimine la nécessité d'assignations manuelles de politiques à des dépôts individuels et garantit l'application cohérente des normes de sécurité au sein de l'organisation. En définissant des politiques au niveau du compte, les utilisateurs peuvent rationaliser la gestion des politiques et réduire le risque de lacunes de sécurité ou d'incohérences entre les actifs.

Organisations et Dépôts¶

Les utilisateurs peuvent développer chaque SCM pour voir toutes les organisations et les dépôts qui leur sont associés ainsi que leur statut de couverture du scanner.

Actions¶

La section Actions sur la page de Couverture du Scanner offre aux utilisateurs un éventail de fonctionnalités pour rationaliser la gestion de la sécurité et l'application des politiques à travers les actifs. Chaque bouton a un but distinct pour améliorer la gestion de la posture de sécurité au sein de la chaîne d'approvisionnement logiciel.

1. Provisionnement¶

Le bouton Provisionnement permet aux utilisateurs de lancer des tâches de provisionnement pour les scanners contre des actifs sélectionnés (organisations et dépôts). Lorsqu'un actif pouvant avoir des scanners provisionnés est sélectionné, le bouton de provisionnement devient actif, permettant aux utilisateurs de naviguer facilement vers la page de Provisionnement des Scanners pour une configuration et un déploiement supplémentaires.

2. Appliquer Politique¶

Le bouton Appliquer Politique facilite l'application de politiques de sécurité aux actifs sélectionnés. Les utilisateurs peuvent appliquer des politiques définies sur la page de Politique à tous les actifs sélectionnés, assurant l'uniformité et la cohérence dans l'application des politiques. BoostSecurity utilise un comportement d'héritage, où les politiques au niveau du compte s'appliquent à tous les actifs qui n'ont pas de politique appliquée explicitement.

De même, les politiques au niveau de l'organisation s'appliquent à tous les dépôts sous la respective organisation. L'interface utilisateur fait la distinction entre les politiques explicitement définies et les politiques héritées en affichant un astérisque (*) à côté des politiques définies explicitement.

3. Effacer Politique¶

Le bouton Effacer Politique supprime toutes les politiques définies explicitement des actifs sélectionnés, les ramenant à leur état de politique héritée. Cette fonctionnalité permet aux utilisateurs de réinitialiser les configurations de politique et d'aligner les actifs avec les politiques organisationnelles ou au niveau du compte selon les besoins.

4. Configurer Scanners¶

Le bouton Configurer Scanners permet aux utilisateurs de définir des configurations de scanner globales sur des scanners spécifiques, qui sont utilisées chaque fois que les utilisateurs provisionnent ces scanners. Il est essentiel de noter que les utilisateurs ne peuvent provisionner ces scanners qu'une fois qu'ils ont été configurés. Les scanners de cette catégorie incluent :

Gitleaks
CodeQL
Semgrep
Semgrep Pro
Snyk

Filtres¶

Les filtres jouent un rôle crucial au sein de la page de Couverture du Scanner, permettant aux utilisateurs de raffiner leur analyse et de se concentrer sur des aspects spécifiques de la Couverture du Scanner. En exploitant la puissance des filtres, les utilisateurs peuvent naviguer efficacement à travers les dépôts, les politiques et les structures organisationnelles pour obtenir des aperçus plus approfondis et entreprendre des actions ciblées.

1. Besoin d'attention¶

Ce filtre aide à prioriser les actifs nécessitant une action immédiate. Il offre deux options :

Besoin d'Attention : Met en évidence les dépôts ayant des problèmes de configuration, c'est-à-dire des analyses échouées qui peuvent nécessiter une intervention urgente.
N'a Pas Besoin d'Attention : Filtre les dépôts qui sont actuellement conformes et qui ne nécessitent pas de modifications.

2. État de Provisionnement¶

Ce filtre permet aux utilisateurs de voir des résultats basés sur l'état de provisionnement des dépôts. Il existe deux types d'état de provisionnement :

Provisionné : Cela signifie que les ressources sont provisionnées avec des scanners de sécurité.
Non Provisionné : Ce sont des ressources qui n'ont pas encore été provisionnées.

3. Type de Politique¶

Les utilisateurs peuvent filtrer les dépôts en fonction des types de politiques, tels que :

Policy Designer : Ces politiques ont été conçues pour des objectifs spécifiques.
Intégré : Filtrer les résultats en fonction des politiques intégrées.

4. Étiquettes Manuelles¶

Ce filtre permet aux utilisateurs de restreindre les résultats en fonction des étiquettes manuelles personnalisées appliquées aux actifs. Ces étiquettes sont des métadonnées définies par l'utilisateur utilisées pour grouper les actifs par logique commerciale, environnements, propriété, ou autres catégorisations internes.

Des exemples d'utilisation incluent :

Filtrer les dépôts étiquetés comme critical pour prioriser la couverture des éléments critiques.
Sélectionner des actifs étiquetés comme accepted-risk pour exclure les problèmes connus et reconnus du processus de triage.
Étiqueter les systèmes hérités ou les projets temporaires pour des règles de scan spécifiques.

5. Politique¶

Les utilisateurs peuvent filtrer uniquement les ressources ayant une Politique ou des Politiques appliquées soit explicitement, soit par héritage de Politique.

6. Organisations¶

Avec la barre de recherche, les utilisateurs peuvent trouver uniquement les Organisations qu'ils souhaitent examiner, appliquer des politiques, ou provisionner des scanners. Sélectionnez ces Organisations avec ce filtre pour supprimer toutes les autres Organisations et leurs dépôts enfants de votre vue.

7. Couverture Manquante¶

C'est l'un des filtres les plus puissants sur cette page, vous permettant de rapidement voir les ressources avec des lacunes de couverture de scanner dans une catégorie de détection particulière. Par exemple, vous pouvez rapidement utiliser ces filtres avec les Attributs pour identifier tous les actifs manquant de couverture SAST qui sont des applications Ruby et ensuite provisionner en masse Brakeman pour combler ce besoin.

8. Attributs¶

BoostSecurity remplit automatiquement les attributs avec des données provenant de votre SCM pour vous aider à identifier rapidement les dépôts écrits dans un langage spécifique ou avec un type particulier de visibilité. Utilisez ces filtres pour concentrer votre attention sur le sous-ensemble de dépôts auxquels vous aimeriez attribuer des Politiques spécifiques ou provisionner des scanners spécifiques.

9. Scanner¶

Les utilisateurs peuvent filtrer les dépôts en fonction des scanners provisionnés contre eux.