Pular para o conteúdo principal
Um achado é um problema de segurança no seu código ou no seu ambiente. Os achados vêm de buscas de segurança, dos seus próprios workflows e da revisão de PRs. Você os revisa no Risk.
A aba Findings na página Risk, listando achados com repositório, arquivo e severidade

​
Como um achado é confirmado

Antes de um achado aparecer como confirmado, o Enclave:
  1. Remove duplicatas, comparando-o com seus achados existentes.
  2. Verifica o achado com um agente independente que lê o código além dos arquivos reportados.
  3. Avalia a explorabilidade no seu ambiente, para ver se um invasor consegue alcançá-lo.

​
A página Risk

Filtre por State, Severity ou Exploitability, ou pesquise por texto. Os filtros ficam salvos na URL, então você pode compartilhar uma visualização.

​
O que um achado contém

A página de um achado mostrando o resumo da vulnerabilidade, os arquivos afetados, a explorabilidade e os ativos afetados
  • Resumo: qual é a falha, onde ela está e o que um invasor ganha.
  • Prova de conceito: como ela foi demonstrada, para que você possa reproduzi-la.
  • Caminho de ataque: a cadeia do ponto de entrada até a falha, quando a explorabilidade é confirmada.
  • Explorabilidade: se a falha é alcançável no seu ambiente e por quê.
  • Ativos afetados: os serviços e recursos de nuvem envolvidos.
Clique em Export PDF para baixar um relatório ou em Copy as markdown para colá-lo em um ticket.

​
Explorabilidade

​
Severidade

A severidade pode mudar quando o Enclave descobre mais sobre onde o código é executado.

​
Status

Para alterar um status, abra o menu ⋯ de uma linha ou clique no status na página do achado. Cada alteração é registrada com quem a fez.

​
Triagem pelo Research

Peça ao Research para trabalhar na sua fila em linguagem natural, por exemplo:
  • Dismiss every low-severity finding in legacy-admin
  • Mark the three SSRF findings in payments-api as resolved
  • Update the proof of concept for this finding with the steps we just ran
O Research mostra um card de aprovação antes de alterar qualquer coisa. Uma aprovação cobre até 100 achados. Para indicar achados específicos, cole os links deles ou anexe-os com Add context.

​
Uma rotina semanal

  1. Abra Active risks e comece por Critical e High.
  2. Marque o que não é real como Inactive e o que você não vai corrigir como Dismissed.
  3. Passe o restante para a equipe responsável e marque como Resolved quando a correção for publicada.
  4. Pergunte ao Research: Which findings still need evidence, and what would verify them?