での保留と誤検出のステータスマッピングの管理アプリケーション脆弱性対応

リリースバージョン: Washingtondc

更新日 2024年02月01日

読む3読むのに数分

によってインポートされFortify 脆弱性統合、インポートVeracode Vulnerability Integration後にインスタンスにマッピングされるアプリケーション脆弱性一致アイテム (AVI) のソースステータスを管理できます。

の v20.0 脆弱性対応以降、ワークフローを使用して ServiceNow インポートされた AVI をトリアージするためのオプションが増えました。

ユーザー Fortify 脆弱性統合の構成または Veracode Vulnerability Integration の構成の統合構成ページには、インスタンスの例外と誤検出の管理に役立つ 2 つのオプションがあります。

必要なロール:アプリケーションセキュリティマネージャー。

例外管理のユースケース

AVI は、ソースステータスとのこれらの統合からインポートされます。インポート時に、これらのステータスはインスタンスのターゲットおよびターゲット理由のステータスにマッピングされます。これは、スキャナーのソースステータスとインスタンスで使用されるステータスが完全に一致しない場合があるためです。

たとえば、「修正しない」、「修正の保留」、「リスクの受容」、「リスクの軽減Fortify 脆弱性統合」などのソースステータスは、インスタンスで [リスク受容] または [コントロールの緩和] のサブステートを持つ [保留] ステータスにマッピングされます。

これらの統合の設定ページには、次のオプションがあります。


オプション	チェックボックスをオン	説明
での例外の管理 ServiceNow	Y (デフォルト)	このオプションを選択したままにする場合は、AVI レコードから例外を要求する必要があります。保留ステータスのマークが付けられたインポートされた AVI は、例外管理ワークフローでServiceNowトリアージされます。通常は保留ステータスにマッピングされるソースステータスを持つ AVI は、[オープン] ステータスのターゲットトリアージステータスにマッピングされます。
	N	チェックボックスをオフにすると、スキャナーからインポートされたソースステータスが保持されます。これらの AVI は、インスタンスの [ターゲット] ステータスに [保留] として、およびターゲット理由ステータスにマッピングされます。ターゲットトリアージステータスおよびターゲットトリアージ理由ステータスにマッピングされていないため、例外ワークフローによってトリアージされません。レコードが既に [ターゲット保留] ステータスになっているため、[例外の要求] UI アクションは AVI レコードでは使用できません。

たとえば、誤検出Veracode Vulnerability Integrationや潜在的な誤検出などのソースステータスは、サブステートが [誤検出] の [クローズ済みターゲット] ステータスにマッピングされます。


オプション	チェックボックスをオン	説明
での誤検出の管理 ServiceNow	Y (デフォルト)	このオプションを選択したままにする場合は、AVI レコードから誤検出を要求する必要があります。インポートされた AVI は、誤検出または誤検出の可能性があるとマークされ、 ServiceNow 例外管理ワークフローでトリアージされます。通常はクローズ済みターゲットステータスにマッピングされるソースステータスを持つ AVI は、[オープン] のターゲットトリアージステータスにマッピングされます。誤検出 UI アクションは AVI レコードで使用できます。
	N	チェックボックスをオフにすると、スキャナーからインポートされたソースステータスが保持されます。これらの AVI は、インスタンスの [ターゲット] ステータスに [クローズ済み] に、および [誤検出] の [ターゲット理由] ステータスにマッピングされます。これらは誤検出ワークフローによってトリアージされません。レコードが既に [ターゲットをクローズ] 状態にあるため、AVI レコードでは誤検出 UI アクションを使用できません。