SARIFレポート

あらゆるSARIF 2.1.0スキャナーからの検出結果をGitLabの脆弱性管理に追加するには、サードパーティのSARIFレポートを使用します。CI/CDジョブがSARIFを生成するスキャナーを実行し、SARIFアーティファクトを追加します。GitLabは、アーティファクトを解析、検証し、セキュリティ検出結果として追加します。

レポートを追加すると、検出結果は次のページにネイティブのGitLabスキャナーからの検出結果とともに表示されます:

• パイプラインのセキュリティタブ
• プロジェクトの脆弱性レポート
• セキュリティダッシュボード
• マージリクエストのセキュリティウィジェット
• セキュリティポリシー

サードパーティのSARIFレポートは、GitLabが提供する組み込みのスキャナーを補完します。GitLabがネイティブで提供していないサードパーティのスキャナーを統合したり、すでに実行しているツールからの検出結果を統合したりするために使用します。

SARIFレポートを追加する

GitLabにSARIF検出結果を追加するには:

前提条件:

• プロジェクトのメンテナーまたはオーナーのロール。
• SARIF 2.1.0ファイルを生成するCI/CDジョブ。

1. お使いの.gitlab-ci.ymlファイルで、スキャナーを実行し、そのSARIF出力をartifacts:reports:sarifアーティファクトとして保存するジョブを定義します。例:

   sarif_scan:
     image: <scanner-image>
     script:
       - <scanner-command> --output sarif.json
     artifacts:
       reports:
         sarif: sarif.json

2. 変更をコミットしてプッシュします。ジョブが完了すると、GitLabはSARIFファイルを解析します。

3. パイプラインのセキュリティタブで、追加された検出結果を表示します。

CI/CDアーティファクトの参照については、artifacts:reports:sarifを参照してください。

割り当てられたレポートタイプ

GitLabは、検出結果の場所と識別子に基づいて、各SARIF検出結果に脆弱性レポートタイプを割り当てます。このタイプは、脆弱性レポートに検出結果が表示される場所と、セキュリティポリシーとの相互作用を決定します。

GitLabは、以下のルールを順番に評価し、検出結果に一致する最初のタイプを割り当てます。

補足説明:

1. 以下のCWEはシークレット関連です:

   • CWE-798（ハードコードされた認証情報）。
   • CWE-259（ハードコードされたパスワード）。
   • CWE-321（ハードコードされた暗号キー）。
   • CWE-522（不十分な保護の認証情報）。
   • CWE-312（機密情報のプレーンテキストストレージ）。
   • CWE-319（機密情報のプレーンテキスト送信）。
   • CWE-256（パスワードのプレーンテキストストレージ）。
   • CWE-257（回復可能な形式でのパスワードの保存）。
   • CWE-540（コードへの機密情報の組み込み）。

GitLabは、検出結果とそのルール内の3つのソースから、次の順序で識別子を読み取ります:

1. エントリがCVE-YYYY-NまたはCWE-Nの形式に一致する場合のresult.ruleId。
2. エントリがcwe:N、cwe-N、cve:YYYY-N、またはcve-YYYY-Nの形式に一致する場合のrule.properties.tags[]。
3. 関係のtarget.toolComponent.nameがCWEである場合のrule.relationships[]。

SARIFフィールドマッピング

GitLabは、以下のルールに従って、SARIFフィールドをGitLabと互換性のあるフィールドに割り当てます。

重大度の解決

GitLabは、以下のフィールドを優先順位順に確認することで、SARIF検出結果の重大度を解決します。値を持つ最初のフィールドが使用されます。

1. result.rank。0.0から100.0までの浮動小数点数。
2. rule.properties.security-severity。0.0から10.0までの浮動小数点数。値はバケット化する前に10倍されます。
3. result.properties.security-severity。0.0から10.0までの浮動小数点数。値はバケット化する前に10倍されます。
4. result.level。
5. rule.defaultConfiguration.level。
6. 他に一致するものがない場合、mediumがデフォルトとして使用されます。

result.rankまたはsecurity-severityからの数値スコアは、以下の範囲を使用して重大度として割り当てられます:

SARIF levelの値は次のようにマップされます:

取り込みの動作

SARIFファイルが適切にフォーマットされているが、一部の結果を追加できない場合、GitLabは処理できなかった結果の割合を使用して、スキャン全体で何をすべきかを決定します。

GitLabは、以下のいずれかのケースでは結果を処理できません:

• ruleIdが不足しています。
• physicalLocationが不足しています。
• 検出識別子の生成に使用される必須コンポーネントのいずれかがnilです。
• 文字列フィールドが文字数制限を超過しています。

ドロップ率は、ファイル内の各runではなく、SARIFアーティファクト全体で計算されます。すべての実行で処理できない結果の割合が閾値を超えると、取り込みフィードバックがアーティファクトから出力されたすべてのレポートに適用されます。

スキーマ検証エラーおよびサポートされていないSARIFバージョンは、ドロップ率に関係なく、レポート全体が拒否される原因となります。

マルチツールレポート

SARIFファイルには複数のツール実行を含めることができ、それぞれに独自のruns[]エントリがあります。各実行について、GitLabは推測されたレポートタイプごとに検出結果をグループ化し、各グループに対して個別のスキャンレコードを作成します。複数の推測されたタイプの検出結果を含む実行は、複数のスキャンレコードを生成します。各スキャンは、実行のtool.driver.nameをそのスキャナーとして使用します。

複数のスキャナーの出力を単一のアーティファクトに結合するには、マルチ実行レポートを使用します。例えば、ジョブは2つのスキャナーを実行し、2つの実行を含む単一のSARIFファイルを出力できます。

ファイルごとの実行制限については、制限を参照してください。

制限

実行あたりのカウントが制限を超えると、GitLabは最初のN個のエントリを処理し、警告を記録します。結果に文字数制限を超える文字列フィールドがある場合、結果全体がスキップされ、ドロップ率にカウントされます。

GitLab Self-Managedインスタンスの場合、管理者はインスタンス制限を通じて設定可能な制限を変更できます。

既知の問題

• SAST、依存関係スキャン、またはシークレット検出として割り当てられたSARIF検出結果は、同等のネイティブGitLabスキャナーからの検出結果と重複排除されません。詳細については、イシュー592410を参照してください。
• SARIFの抑制を使用して検出結果を除外することはできますが、GitLabでは抑制に基づく脆弱性の却下は作成されません。検出結果を無視するには、脆弱性レポートを使用します。

関連トピック

• artifacts:reports:sarif
• パイプラインセキュリティレポート
• プロジェクト脆弱性レポート
• セキュリティポリシー
• SARIF 2.1.0仕様