Exporta los hallazgos de un análisis finalizado para usarlos en otra herramienta. Para dar seguimiento a las correcciones o coordinar la divulgación, pídele a Codex que prepare un issue o un borrador privado de un aviso de seguridad de GitHub.
Exportar un artefacto portátil
En la aplicación de escritorio, abre un análisis finalizado desde Seguridad > Análisis. En Artefactos, selecciona JSON de hallazgos para abrir los hallazgos estructurados o Informe SARIF si el análisis generó uno. Los artefactos disponibles dependen de las versiones de la aplicación y del complemento.
Cuando Codex te ofrezca exportar los hallazgos del análisis, pídele que los exporte en JSON, CSV o SARIF. Para exportarlos desde una terminal, usa el directorio del análisis guardado con el comando de exportación de la CLI.
| Formato | Para qué sirve |
|---|---|
| JSON | Conservar los hallazgos estructurados y sellados para usarlos en herramientas y scripts. |
| CSV | Revisar los hallazgos en una hoja de cálculo. |
| SARIF | Enviar los hallazgos a herramientas compatibles con el formato de intercambio SARIF. |
Para incluir el estado de clasificación más reciente, los motivos de cierre o tus notas, exporta un CSV desde el complemento después de hacer los cambios. Abre exports/findings.csv en el directorio del análisis. La CLI exporta el análisis guardado sin los cambios locales de clasificación.
Desde un análisis finalizado, abre los datos de cobertura, los hallazgos, el archivo de manifiesto del análisis, el informe en Markdown o el artefacto SARIF.
Selecciona Informe en Markdown para abrir report.md en el editor que configuraste.
En el informe en Markdown generado, revisa el alcance del análisis, el modelo de amenazas, los hallazgos validados y los enlaces a los informes detallados.
Conserva todo el directorio del análisis cuando archives el informe. Para dar seguimiento a los hallazgos, necesitas los archivos originales scan-manifest.json y findings.json. Si necesitas editar los hallazgos, primero haz tu propia copia de findings.json.
Dar seguimiento a los hallazgos seleccionados
Usa $codex-security:track-findings con uno o más hallazgos validados del mismo análisis finalizado. Elige un destino para cada ejecución.
| Destino | Qué debes especificar |
|---|---|
| Issue de Linear | Equipo y, opcionalmente, proyecto |
| Issue de GitHub | Propietario y repositorio |
| Issue de Jira | Sitio, proyecto y tipo de issue en la aplicación de Atlassian |
| Borrador privado de un aviso de seguridad de GitHub | Un hallazgo y su repositorio público de origen en GitHub.com |
Usa $codex-security:track-findings para preparar un borrador de un issue de Linear para el equipo [team]
sobre el hallazgo [finding ID] del análisis guardado en [completed scan directory].Para procesar un lote, incluye en tu solicitud los ID de los hallazgos. Para darles seguimiento en Jira, conecta la aplicación de Atlassian en Codex. Confirma quién puede leer los issues del proyecto. Para crear un issue, necesitas permisos para explorar el proyecto y crear issues. Para reutilizar un issue existente, necesitas acceso de lectura. Para actualizarlo, necesitas acceso de lectura y edición.
Para preparar un borrador de aviso de seguridad, inicia sesión en GitHub.com desde la CLI de GitHub (gh) con una cuenta que tenga acceso de administrador al repositorio de origen. El repositorio debe ser público y no puede ser un fork. Selecciona un hallazgo de un análisis cuyo objetivo sea una revisión de Git (git_revision). Los análisis de diferencias entre commits no cumplen este requisito. Ten a mano el nombre del paquete, el ecosistema y las versiones afectadas.
Revisar el issue o el aviso de seguridad
- Revisa el análisis de origen, los hallazgos seleccionados y la cuenta con la que iniciaste sesión. Confirma el destino y quién tiene acceso de lectura. Usa un destino privado para los hallazgos sensibles. Para divulgar los hallazgos en un Issue de GitHub interno o público, necesitas aprobación explícita.
- Revisa si Codex propone crear, reutilizar o actualizar un issue. En el caso de los avisos de seguridad, puede crear un borrador privado o reutilizar un aviso que coincida con el hallazgo, ya sea un borrador o un aviso publicado.
- Lee el título y el contenido, y revisa las ubicaciones en el código fuente. El borrador de un aviso de seguridad podría hacerse público. Elimina las credenciales, la evidencia privada y los detalles innecesarios sobre cómo explotar la vulnerabilidad.
- Aprueba la vista previa en la conversación con Codex antes de que Codex cree o actualice el elemento. Si la vista previa cambia, revísala y apruébala de nuevo.
Guarda el ID o el enlace del issue que devuelva la herramienta de seguimiento, incluso si Codex no puede volver a abrir el issue. Si se trata de un aviso de seguridad nuevo, Codex verifica que el borrador coincida con lo que aprobaste.
Si Codex no puede determinar si creó o actualizó un elemento, detiene el procesamiento del lote. Antes de volver a intentarlo, busca el issue o el aviso de seguridad en la herramienta de seguimiento y pregúntale a Codex cuáles son los hallazgos que aún no ha intentado procesar.
Continúa con Corregir y verificar un hallazgo cuando la persona responsable acepte el elemento para corregir el hallazgo.