Exporte os achados de uma varredura concluída para usá-los em outra ferramenta. Para acompanhar as correções ou coordenar a divulgação, peça ao Codex que prepare uma issue ou um rascunho privado de aviso de segurança do GitHub.
Exportar um artefato portátil
No aplicativo para desktop, acesse Segurança > Varreduras e abra uma varredura concluída. Em Artefatos, selecione Achados em JSON para abrir os achados estruturados ou Relatório SARIF se a varredura tiver gerado um relatório nesse formato. Os artefatos disponíveis dependem das versões do aplicativo e do plugin.
Quando o Codex oferecer a opção de exportar os achados da varredura, solicite o formato JSON, CSV ou SARIF. Para exportar pelo terminal, use o diretório onde a varredura foi salva com o comando de exportação da CLI.
| Formato | Quando usar |
|---|---|
| JSON | Para preservar os achados estruturados e selados para uso em ferramentas e scripts. |
| CSV | Para revisar os achados em uma planilha. |
| SARIF | Para enviar os achados a ferramentas compatíveis com o formato de intercâmbio SARIF. |
Para incluir o status de triagem, os motivos de encerramento ou as anotações mais recentes, exporte um CSV pelo plugin depois de fazer as alterações. Abra exports/findings.csv no diretório da varredura. A CLI exporta a varredura salva sem incluir as atualizações locais de triagem.
Abra os dados de cobertura, os achados, o manifesto da varredura, o relatório em Markdown ou o artefato SARIF de uma varredura concluída.
Selecione Relatório em Markdown para abrir report.md no editor que você configurou.
No relatório gerado em Markdown, revise o escopo da varredura, o modelo de ameaças, os achados validados e os links para relatórios detalhados.
Ao arquivar o relatório, guarde todo o diretório da varredura. O acompanhamento exige os arquivos originais scan-manifest.json e findings.json. Se precisar editar os achados, faça primeiro uma cópia de findings.json.
Acompanhar os achados selecionados
Use $codex-security:track-findings com um ou mais achados validados da mesma varredura concluída. Escolha um único destino por execução.
| Destino | O que informar |
|---|---|
| Issue do Linear | Equipe e, opcionalmente, projeto |
| Issue do GitHub | Proprietário e repositório |
| Issue do Jira | Site, projeto e tipo de issue no aplicativo da Atlassian |
| Rascunho privado de aviso de segurança do GitHub | Um achado e o respectivo repositório público de origem no GitHub.com |
Use $codex-security:track-findings para preparar um rascunho de issue do Linear para a equipe [team]
sobre o achado [finding ID] em [completed scan directory].Para acompanhar vários achados em lote, liste os IDs na solicitação. Para acompanhá-los no Jira, conecte o aplicativo da Atlassian no Codex. Confirme quem pode ler as issues do projeto. Para criar uma issue, você precisa de permissão para navegar no projeto e criar issues. Para reutilizar uma issue existente, é preciso ter acesso de leitura. Para atualizá-la, é preciso ter acesso de leitura e edição.
Para preparar um rascunho de aviso de segurança, entre no GitHub.com pela CLI do GitHub (gh) com uma conta que tenha acesso de administrador ao repositório público de origem. Esse repositório não pode ser um fork. Selecione um único achado de uma varredura que tenha como alvo uma revisão do Git (git_revision). Varreduras que analisam as diferenças entre commits não se qualificam. Tenha em mãos o nome do pacote, o ecossistema e as versões afetadas.
Revisar a issue ou o aviso de segurança
- Confira a varredura de origem, os achados selecionados e a conta usada para entrar. Confirme o destino e quem tem acesso de leitura a ele. Use um destino privado para achados sensíveis. Uma issue do GitHub com visibilidade interna ou pública exige aprovação explícita para a divulgação.
- Confira se o Codex propõe criar, reutilizar ou atualizar uma issue. No caso de um aviso de segurança, ele pode criar um rascunho privado ou reutilizar um rascunho ou aviso publicado que corresponda ao achado.
- Leia o título e o conteúdo e confira os locais indicados no código-fonte. Um aviso de segurança em rascunho pode se tornar público. Remova credenciais, evidências privadas e detalhes desnecessários sobre como explorar a vulnerabilidade.
- Aprove a prévia na conversa com o Codex antes que ele crie ou atualize um item. Se a prévia mudar, revise e aprove a nova versão.
Guarde o ID ou o link da issue que a ferramenta de acompanhamento retornar, mesmo que o Codex não consiga reabrir a issue. No caso de um novo aviso de segurança, o Codex verifica se o rascunho corresponde ao que você aprovou.
Se o Codex não conseguir determinar se criou ou atualizou um item, ele interromperá o lote. Antes de tentar novamente, procure a issue ou o aviso de segurança na ferramenta de acompanhamento e pergunte ao Codex quais achados ele ainda não tentou processar.
Quando a pessoa responsável aceitar o item para correção, prossiga para Corrigir e verificar um achado.