Zum Inhalt springen
Craftifact

Schwachstellen-Findings prüfen

Wie du in Craftifact die Findings-Ansicht und die Schwachstellenbericht-API nutzt, um SBOM-gestützte Schwachstellen-Findings für ein Paketartefakt oder OCI-Subject zu prüfen.

Nutze Findings, wenn du Schwachstellen-Kontext für ein Paketartefakt oder OCI-Subject brauchst, für das bereits eine effektive SBOM vorhanden ist.

Kurzpfad

  1. Öffne Craftifact und wähle das relevante Repository in Browse.
  2. Öffne das Artefakt, den OCI-Tag oder den OCI-Digest, den du prüfen willst.
  3. Nutze im Detailbereich den Eintrag Vulnerabilities in der Zeile Insights, wenn er sichtbar ist.
  4. Wenn du bereits in der subject-spezifischen Ansicht Dependencies bist, nutze dort die Aktion View vulnerability findings.
  5. Prüfe Scan-Status und Aktualität der Schwachstellendatenbank, bevor du das Ergebnis als abschließend einordnest.
  6. Filtere nach Priorität, Schweregrad, Target oder Komponenten-Text, wenn die Trefferliste groß ist.
  7. Wenn du Findings verwalten darfst, unterdrücke ausgewählte Findings nur mit klarer Laufzeit und nachvollziehbarer Begründung.

Starte in den Artefakt-Details

Wenn du das Artefakt, den OCI-Tag oder den OCI-Digest schon kennst, starte in Browse. Der Detailbereich zeigt subject-spezifische Insights, wenn Craftifact genug Kontext für das ausgewählte Element hat. Nutze dort Vulnerabilities, um Findings -> Vulnerabilities direkt für dieses Subject zu öffnen. Wenn du zuerst Dependencies prüfen willst, öffne die subject-spezifische Ansicht Dependencies aus demselben Detailbereich und nutze dort View vulnerability findings.

So vermeidest du manuelle PURL-Lookups und hältst den Findings-Scope an genau das Artefakt oder Image gebunden, das du geöffnet hast.

Scope dieser Anleitung

Diese Anleitung behandelt Findings -> Vulnerabilities. Der Bereich Findings enthält außerdem Suppressions, Secrets und Licenses; Secret-Scans sind auf Starter mit einem Limit von 512 MiB für Source-Input und extrahierte Daten verfügbar, und Lizenz-Ergebnisse stammen aus der SBOM des ausgewählten Subjects.

Woher Findings kommen

Schwachstellen-Findings werden aus der effektiven SBOM für das ausgewählte Subject abgeleitet. Craftifact nutzt dafür Trivy-gestützte Scans und speichert den resultierenden Bericht.

Die Ansicht ist subject-spezifisch:

  • Paketartefakt-Modus folgt einer artifact_id,
  • OCI-Modus folgt einem Digest in einem Repository,
  • Findings werden nicht aus mehreren SBOM-Dokumenten für dasselbe Subject zusammengeführt.

Status richtig lesen

Die Findings-Ansicht kann mehr als fertige Ergebnisse anzeigen. Behandle pending, failed, invalid, skipped oder veraltete Zustände als Signal, dass das Ergebnis keine vollständige Entwarnung ist.

Freshness-Badges stehen bei den Schwachstellen-Findings, weil generierte SBOMs, Trivy-Schwachstellendaten und externe Prioritätsfeeds mit der Zeit veralten können. Wenn die Seite Daten als veraltet oder nicht verfügbar markiert, nutze sie als aktuellen Triage-Kontext, nicht als Beweis, dass sich upstream nichts geändert hat.

Wann Scans laufen

Craftifact startet den ersten Scan, sobald die SBOM nach Upload oder Generierung bereit ist, und prüft vorhandene Schwachstellenberichte danach standardmäßig einmal täglich auf nötige Rescans. Betreiber können diese periodische Prüfung in der Instanz-Konfiguration mit scheduler.vulnerability_rescan.interval anpassen.

Prioritätssignale

Craftifact vergibt zusätzlich zum Scanner-Schweregrad eine Prioritätsstufe für Schwachstellen. Die Stufe kombiniert Schweregrad-Untergrenzen mit CISA KEV und EPSS Risk Intelligence, wenn diese Feeds aktuell sind.

Über die Filter-Controls wählst du, ob KEV und EPSS Prioritätsberechnung, Sortierung, Filter und Tooltips beeinflussen sollen. Diese Signal-Einstellungen bleiben im Browser gespeichert; Schweregrad- und Environment-Filter bleiben dagegen seitenspezifisch.

Prioritätsfilter sind Triage-Hilfen. Sie ändern nicht das Schema der Schwachstellenbericht-API und ersetzen nicht die Prüfung von Fixed-Version und Paketkontext vor einer Release-Entscheidung.

Suppressions

Suppressions sind für dokumentierte Triage-Entscheidungen gedacht, nicht zum dauerhaften Verstecken von Rauschen. Wenn du Findings unterdrückst, halte den Scope so eng wie praktikabel, setze eine Laufzeit und schreibe eine Begründung, die eine andere prüfende Person später versteht.

Die Permission findings:suppress steuert Suppression-Aktionen und detaillierte Suppression-Verwaltung. Nutzer mit Leserechten können Findings prüfen, aber möglicherweise keine Suppressions erstellen, erneuern oder widerrufen.

API-Zugriff

Automation kann denselben subject-spezifischen Schwachstellenbericht über die SBOM-Schwachstellenbericht-API lesen. Nutze das, wenn eine Pipeline oder ein externer Triage-Schritt den gespeicherten Bericht für ein Artefakt oder einen OCI-Digest braucht.

Verwandte Seiten