Xuất và theo dõi các phát hiện bảo mật

Sử dụng một quy trình quét Codex Security đã hoàn tất làm nguồn cho hai hình thức bàn giao khác nhau:

• Export tạo một tệp JSON, CSV hoặc SARIF có thể chuyển đổi.
• Track findings chuẩn bị các phát hiện đã chọn dưới dạng issue Linear, GitHub hoặc Jira hay một GitHub Security Advisory nháp riêng tư, kiểm tra trùng lặp và chờ bạn phê duyệt trước khi ghi.

Các quy trình này không thay đổi gói quét đã niêm phong.

Xuất một artifact có thể chuyển đổi

Trong ứng dụng máy tính, mở một quy trình quét đã hoàn tất từ Security > Scans. Dùng các liên kết artifact hiện có để kiểm tra report.md, findings.json, scan-manifest.json, coverage.json hoặc báo cáo SARIF khi có.

Để tạo một định dạng được hỗ trợ khác, hãy yêu cầu Codex xuất các phát hiện từ quy trình quét đã hoàn tất mà không sửa đổi gói đã niêm phong:

Export the findings from [completed scan directory] as [JSON, CSV, or SARIF]. Do not modify the sealed scan bundle or upload its contents.

Chọn định dạng phù hợp với đích của bạn:

Chọn Markdown report để mở report.md trong trình chỉnh sửa bên ngoài đã cấu hình.

Sử dụng đường dẫn artifact được trả về. Nếu một công cụ khác cần toàn bộ ngữ cảnh quét, hãy giữ scan-manifest.json, findings.json và coverage.json gốc cùng nhau. Việc xuất không tải phát hiện lên một dịch vụ quét mã.

Theo dõi các phát hiện đã chọn

Quy trình $codex-security:track-findings chấp nhận một phát hiện đã xác thực hoặc một lô được chọn rõ ràng gồm tối đa 25 phát hiện từ một quy trình quét đã niêm phong để theo dõi issue. GitHub Security Advisory nháp chỉ chấp nhận một phát hiện. Mỗi lần chạy dùng một nhà cung cấp và một đích.

Đối với Linear, hãy gửi một lời nhắc như sau:

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] for the Linear team [team] and project [project, if
any]. Check for duplicates and show me the exact issue title, body, metadata,
and destination. Do not create or update anything until I approve that payload.

Đối với GitHub issues, hãy gửi:

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] for GitHub repository [owner/repository]. Check open
and closed issues for duplicates and show me the exact issue title, body,
metadata, repository visibility, and authenticated transport. Do not create or
update anything until I approve that payload.

Đối với Jira, hãy gửi:

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] for Jira project [project key] as [issue type].
Check for duplicates and show me the exact issue summary, description,
metadata, and destination. Do not create or update anything until I approve
that payload.

Việc theo dõi trên Jira yêu cầu plugin Atlassian Rovo trong Codex. Tái sử dụng một issue yêu cầu quyền đọc; tạo hoặc cập nhật issue yêu cầu quyền đọc và ghi.

Đối với GitHub Security Advisory nháp riêng tư, hãy gửi:

Use $codex-security:track-findings to prepare finding [finding ID] from
[completed scan directory] as a private draft GitHub Security Advisory in
[owner/repository]. Verify the sealed source revision, repository, affected
paths, package metadata, and duplicate state. Show me the exact advisory
payload, authenticated GitHub CLI identity, and disclosure warnings. Do not
create anything until I approve that payload.

Rà soát thao tác ghi được đề xuất

1. Xác nhận ID và dấu vân tay của phát hiện đến từ đúng quy trình quét đã niêm phong dự kiến.
2. Xác nhận nhà cung cấp, nhóm Linear, kho lưu trữ GitHub, dự án Jira hoặc kho lưu trữ thông báo chính xác, cùng chế độ hiển thị hiện tại của đích.
3. Rà soát kết quả kiểm tra trùng lặp: create, reuse, update hoặc blocked.
4. Đọc toàn bộ tiêu đề, nội dung, vị trí nguồn và siêu dữ liệu nhà cung cấp được đề xuất. Loại bỏ chi tiết khai thác hoặc bằng chứng nội bộ mà đích không nên làm lộ.
5. Chỉ phê duyệt chính xác payload đó. Mọi thay đổi về đích, chế độ hiển thị, tập hợp phát hiện hoặc nội dung đều yêu cầu bản xem trước mới.

Các phát hiện nhạy cảm phải được gửi đến một đích riêng tư. Việc tạo issue trong một kho lưu trữ GitHub nội bộ hoặc công khai yêu cầu cảnh báo rõ ràng về chế độ hiển thị và phê duyệt toàn bộ nội dung. Hãy coi mô tả của thông báo nháp là nội dung cuối cùng sẽ công khai và loại bỏ thông tin xác thực, bằng chứng riêng tư cũng như chi tiết khai thác không cần thiết trước khi phê duyệt.

Rà soát và phê duyệt các thao tác bên ngoài trong cuộc trò chuyện Codex. Việc phê duyệt không tạo màn hình issue hoặc thông báo riêng trong bàn làm việc Security.

Xác minh mục đã theo dõi

Sau khi phê duyệt, Codex xác thực lại nguồn đã niêm phong, đích, quyền truy cập và trạng thái trùng lặp. Công cụ xử lý lô tuần tự và dừng ở kết quả không chắc chắn đầu tiên. Thao tác tạo, cập nhật hoặc tái sử dụng chỉ hoàn tất sau khi Codex đọc lại chính xác issue và xác minh các mã định danh liên kết cùng nội dung của issue.

Giữ URL issue hoặc thông báo chuẩn được trả về cùng bản ghi phân loại của bạn. Tiếp tục với Khắc phục và xác minh một phát hiện khi chủ sở hữu chấp nhận mục để khắc phục.