Saltar al contenido principal
Un hallazgo es un problema de seguridad en tu código o en tu entorno. Los hallazgos provienen de las búsquedas de seguridad, de tus propios workflows y de la revisión de PR. Los revisas en Risk.
La pestaña Findings de la página Risk, con los hallazgos, su repositorio, su archivo y su severidad

​
Cómo se confirma un hallazgo

Antes de que un hallazgo aparezca como confirmado, Enclave:
  1. Lo desduplica frente a tus hallazgos existentes.
  2. Lo verifica con un agente independiente que lee el código más allá de los archivos indicados.
  3. Evalúa su explotabilidad en tu entorno, para ver si un atacante puede alcanzarlo.

​
La página Risk

Filtra por State, Severity o Exploitability, o busca por texto. Los filtros se guardan en la URL, así que puedes compartir una vista.

​
Qué contiene un hallazgo

La página de un hallazgo con el resumen de la vulnerabilidad, los archivos afectados, la explotabilidad y los activos afectados
  • Resumen: qué es el fallo, dónde está y qué obtiene un atacante.
  • Prueba de concepto: cómo se demostró, para que puedas reproducirlo.
  • Ruta de ataque: la cadena desde el punto de entrada hasta el fallo, cuando la explotabilidad está confirmada.
  • Explotabilidad: si el fallo se puede alcanzar en tu entorno, y por qué.
  • Activos afectados: los servicios y los recursos en la nube implicados.
Haz clic en Export PDF para descargar un informe, o en Copy as markdown para pegarlo en un ticket.

​
Explotabilidad

​
Severidad

La severidad puede cambiar cuando Enclave sabe más sobre dónde se ejecuta el código.

​
Estados

Para cambiar un estado, abre el menú ⋯ de una fila, o haz clic en el estado en la página del hallazgo. Cada cambio queda registrado con quién lo hizo.

​
Triaje desde Research

Pide a Research en lenguaje natural que trabaje tu cola, por ejemplo:
  • Dismiss every low-severity finding in legacy-admin
  • Mark the three SSRF findings in payments-api as resolved
  • Update the proof of concept for this finding with the steps we just ran
Research muestra una tarjeta de aprobación antes de cambiar nada. Una aprobación cubre hasta 100 hallazgos. Para señalar hallazgos concretos, pega sus enlaces o adjúntalos con Add context.

​
Una rutina semanal

  1. Abre Active risks y empieza por Critical y High.
  2. Marca como Inactive lo que no es real, y como Dismissed lo que no vas a corregir.
  3. Pasa el resto al equipo responsable y márcalo como Resolved cuando se publique la corrección.
  4. Pregunta a Research: Which findings still need evidence, and what would verify them?