Просмотр кода страницы Приём результатов безопасности и логов аудита GitLab


= Приём результатов безопасности и логов аудита GitLab =
Принимайте результаты сканирования зависимостей и контейнеров GitLab, события сканирования и логи аудита в '''Ключ-АСТРОМ''' как события безопасности.

== Начало работы ==

== Обзор ==
Интеграция '''Ключ-АСТРОМ''' с '''GitLab''' позволяет унифицировать и контекстуализировать результаты безопасности и активность аудита GitLab по группам, проектам и образам контейнеров для визуализации, анализа и автоматизации в '''Ключ-АСТРОМ'''.

'''GitLab''' предоставляет возможности сканирования безопасности, такие как '''Dependency Scanning''' и '''Container Scanning''', которые сканируют код и артефакты сборки для выявления проблем безопасности.

'''Ключ-АСТРОМ''' принимает и обогащает результаты GitLab контекстом времени выполнения, чтобы помочь командам разработки фильтровать и приоритизировать риски, которые затрагивают производственные приложения и артефакты кода.

== Варианты использования ==
С принятыми данными вы можете реализовать различные сценарии, такие как:

* Визуализация и анализ результатов безопасности
* Обнаружение пробелов в покрытии результатов безопасности
* Автоматизация и оркестрация результатов безопасности

== Требования ==
Ниже приведены требования для '''GitLab''' и '''Ключ-АСТРОМ'''.

=== Требования GitLab ===

* Учётная запись '''GitLab''' с доступом к группам и проектам, которые должны отслеживаться.
* Доступ к требуемому уровню '''GitLab''' для интегрированных функций:

   * '''Dependency Scanning'''
   * '''Container Scanning'''

* '''Personal Access Token''' ('''PAT''') для аутентификации '''API'''.
* Конвейеры '''CI/CD''', настроенные с помощью управляемых шаблонов '''GitLab''' для:

   * '''Dependency Scanning'''
   * '''Container Scanning'''

=== Требования Ключ-АСТРОМ ===

* '''АктивныйШлюз''' версии 1.310+, который должен иметь возможность:

   * Запускать фреймворк '''Расширения 2.0'''
   * Достигать конечных точек '''API''' '''GitLab'''

* Разрешения: для получения списка необходимых разрешений перейдите в раздел '''Расширения''', выберите '''Расширения''' и откройте '''Техническую информацию'''.
* Сгенерируйте токен доступа с областью <code>openpipeline.events_security</code> и сохраните его для дальнейшего использования.

== Активация и настройка ==

# В '''Ключ-АСТРОМ''' найдите '''GitLab''' и выберите '''Установить'''.
# Следуйте инструкциям на экране для настройки расширения.
# Проверьте конфигурацию, выполнив следующие запросы в '''Notebooks''':

'''Для логов аудита:'''<pre>
fetch logs
| filter log.source=="GitLab"
</pre>'''Для событий результатов:'''<pre>
fetch security.events
| filter dt.system.bucket == "default_securityevents"
| filter event.provider=="GitLab"
    AND event.type=="VULNERABILITY_FINDING"
</pre>'''Для событий сканирования:'''<pre>
fetch security.events
| filter dt.system.bucket == "default_securityevents"
| filter event.provider=="GitLab"
    AND event.type=="VULNERABILITY_SCAN"
</pre>После установки и запуска расширения вы можете получить к нему доступ и управлять им в '''Ключ-АСТРОМ''' через раздел '''Расширения'''.

== Детали ==

=== Как это работает ===
'''Как работает приём результатов безопасности и логов аудита GitLab'''

Интеграция '''Ключ-АСТРОМ''' с '''GitLab''' — это расширение, работающее на '''АктивныйШлюз''' '''Ключ-АСТРОМ'''. После включения и настройки расширения '''GitLab''' для '''Ключ-АСТРОМ''':

* Оно периодически собирает результаты безопасности и логи аудита с помощью '''API''' '''GitLab'''.
* Полученные данные принимаются в '''Ключ-АСТРОМ''' и сопоставляются с '''Семантическим словарём Ключ-АСТРОМ'''.
* Данные хранятся в бакете <code>default_securityevents</code>.

== Лицензирование и затраты ==
Информацию о выставлении счетов см. в разделе «События».

== Часто задаваемые вопросы ==
'''Какая модель данных используется для логов и событий безопасности, поступающих из GitLab?'''

События результатов уязвимостей хранят отдельные результаты уязвимостей, о которых сообщает '''GitLab''' для затронутых артефактов и компонентов.

События сканирования уязвимостей указывают покрытие сканирований для отдельных артефактов.

Логи аудита представляют логи активности пользователей.

'''Какие результаты безопасности GitLab импортируются в Ключ-АСТРОМ?''' Если расширение настроено на приём данных с интервалом в n часов, то каждый запуск принимает все события безопасности, обновлённые за последние n часов.

При первом приёме '''Ключ-АСТРОМ''' учитывает результаты, обновлённые за последние m часов, где m — это интервал первого приёма, настроенный в конфигурации мониторинга.

Если новые или обновлённые результаты не обнаружены, результаты не принимаются.

'''Какие поля расширения добавляются к основным полям событий, принятых из GitLab?''' Пространство имён <code>container_image</code> добавляется для информации, связанной с образом контейнера:

* <code>container_image.digest</code> представляет дайджест образа контейнера и может использоваться для сопоставления с контейнерами времени выполнения.
* <code>container_image.repository</code> представляет имя репозитория контейнера.
* <code>container_image.registry</code> представляет имя реестра контейнеров.

Пространство имён <code>gitlab</code> добавляется для специфичных для '''GitLab''' атрибутов поверх основной схемы. Полная исходная полезная нагрузка хранится в <code>event.original_content</code>.

Примеры полей:

* <code>gitlab.project.id</code>: идентификатор проекта.
* <code>gitlab.project.name</code>: имя проекта.
* <code>gitlab.project.branch</code>: исходная ветка, связанная со сканированием или результатом.
* <code>gitlab.group.id</code>: идентификатор группы.
* <code>gitlab.group.name</code>: имя группы.
* <code>gitlab.finding.false_positive</code>: помечен ли результат как ложноположительный.

'''Какие типы активов GitLab поддерживаются Ключ-АСТРОМ для контекстуализации во время выполнения?''' <code>CONTAINER_IMAGE</code>: результаты из '''GitLab''' генерируются оценками уязвимостей образов контейнеров и сопоставляются со значением <code>CONTAINER_IMAGE</code> в <code>object.type</code>. Пространство имён <code>container_image</code> добавляется, и <code>container_image.digest</code> используется для сопоставления принятых результатов с контейнерами времени выполнения, отслеживаемыми '''Ключ-АСТРОМ'''. Атрибут <code>container_image.digest</code> используется для сопоставления принятых результатов безопасности с контейнерами времени выполнения, отслеживаемыми '''Ключ-АСТРОМ'''.

'''Как нормализуется оценка риска для результатов GitLab?''' '''Ключ-АСТРОМ''' нормализует серьёзность и оценки риска для всех результатов, принятых через эту интеграцию. Это помогает согласованно приоритизировать результаты независимо от их источника.

<code>dt.security.risk.level</code> сопоставляется из значений серьёзности '''GitLab''', возвращаемых '''API''' результатов уязвимостей.

<code>dt.security.risk.score</code> выводится из <code>dt.security.risk.level</code> с использованием статического сопоставления серьёзности и оценки '''Ключ-АСТРОМ'''.
{| class="wikitable"
!dt.security.risk.level (сопоставлено из finding.severity)
!dt.security.risk.score (сопоставлено из dt.security.risk.level)
|-
|Critical → CRITICAL
|10,0
|-
|High → HIGH
|8,9
|-
|Medium → MEDIUM
|6,9
|-
|Low → LOW
|3,9
|-
|Info/Unknown → NONE
|0,0
|}