Rettefrist (SLA)

Hvert åbent fund (SAST, afhængigheder, container-images, malware) har et SLA-mærke ved siden af sin alvorlighed. Mærket beregnes ud fra ét input, nemlig hvor gammelt fundet er, og én konfiguration: din organisations SLA-politik pr. alvorlighed.

Standardværdier

Fra start får hver organisation disse mål:

Standardværdierne følger de patch-kadencer, der er almindelige i større virksomheder, og som nævnes i NIST SP 800-40r4 og lignende rammeværk. Stram dem, hvis dine revisionskrav kræver det.

De tilstande, mærket kan vise

Mærkets farve viser tilstanden, og teksten viser dagene.

• Inden for (grøn): under SLA’en og mindre end 80 % af vejen til fristen. Mærket viser fundets alder mod SLA’en, for eksempel 12/30 dg..
• Tæt på (gul): mellem 80 % og 100 % af fristen. Planlæg en rettelse i denne uge. Mærket viser de dage, der er tilbage, for eksempel 5 dage tilbage.
• Overskredet (rød): fristen er passeret. Tælles med i det ugentlige sammendrag og i oversigtens felt SLA-overskridelser. Mærket viser, hvor langt fristen er overskredet, for eksempel 3 dg. over SLA.
• Ingen SLA (grå): alvorligheden har ingen politik tilknyttet (standard for low). Mærket viser Ingen SLA.

Grænsen på 80 % af fristen for tæt på er bevidst valgt: de fleste rettelser kræver reelt arbejde at sætte i gang, reviewe og rulle ud, og når advarslen kommer før fristen, får du den tid.

Politik pr. organisation

SLA’en pr. organisation redigeres under Sikkerhed › Prioritér › Rettefrist (SLA) (/<org>/_admin/security/prioritise/sla). Vælg en strammere frist pr. alvorlighed. Beregningen af overskridelser læser straks tenantens række i security_sla_policy, så der er ikke brug for en ny scanning. Standardværdierne ovenfor gælder, indtil du ændrer dem. Har du brug for en SLA, der ikke er tidsbaseret (fx arbejdsdage eller helligdagskalendere), så opret en supportsag.

Fund, der ikke er nåbare (valgfri multiplikator)

For fund i afhængigheder og container-images beregner fremforge en vurdering af nåbarhed. Din organisation kan forlænge SLA’en for fund, hvis vurdering er ikke nåbar (unreachable), med en heltalsfaktor fra 1 til 4. Multiplikatoren sættes på samme side, Sikkerhed › Prioritér › Rettefrist (SLA). Standardværdien 1 betyder, at den er slået fra.

Fristen regnes altid fra det tidspunkt, fundet første gang blev set. Finder en senere scanning en kaldsti, eller kan den ikke afgøre det, gælder den fulde SLA straks igen, så et fund kan gå direkte til Overskredet. Et forlænget mærke viser ×2 (eller ×3, ×4), og dets værktøjstip viser begge frister. Når multiplikatoren er slået til, forklarer værktøjstippet på et mærke med fuld SLA, hvorfor det ikke er forlænget. Fund fra SAST, licenser, secrets og malware har ingen vurdering og beholder den fulde SLA.

Multiplikatoren ændrer kun frister. Det, der blokerer en pull request, er uændret, og intet fund skjules eller afvises.

Fund på beskyttede release-branches viser også en rettefrist ud fra denne politik, men de tælles ikke med i SLA-overskridelser, SLA-feltet eller nogen SLA-måling.

Om SLA’ens omfang. Tabellen ovenfor er uret for afhjælpning af fund: hvor lang tid du har til at lukke et fund i din kode. Den er forskellig fra to andre SLA’er, der er beskrevet andre steder på fremforge:

• SLA’en for platformens CVE-patches (Critical 48 t / High 72 t / Medium 7 d) dækker, hvor hurtigt fremforge patcher sin egen stak. Se platformens sikkerhedsforpligtelser under Sikkerhed og forsyningskæde.
• SLA’en for sårbarhedsrapportering (Critical rettet inden for 24 t / offentliggjort 30 d efter rettelsen osv.) dækker sårbarheder i selve fremforge, som forskere har rapporteret. Se Rapportering af sårbarheder.

Via REST API’et

SLA-politikken pr. alvorlighed kan sættes via det offentlige API. Det er nyttigt, når du vil håndhæve samme niveau på tværs af mange organisationer fra et konfigurationsscript eller en compliance-pipeline.

• Opdatér politik PUT /_app/api/v1/orgs/:slug/security/sla-policy body: { "critical_sla_days": 3, "high_sla_days": 14, "medium_sla_days": 60, "low_sla_days": null, "unreachable_sla_multiplier": 2 }

Hvert dagefelt accepterer 1–365 dage eller null for at lade en alvorlighed være uden SLA. Et dagefelt, der mangler, tæller som null. unreachable_sla_multiplier accepterer et heltal fra 1 (slået fra) til 4. I modsætning til dagefelterne bevares den gemte værdi, hvis feltet udelades. GET /_app/api/v1/orgs/:slug/security returnerer politikken. Hver ændring registreres i revisionsloggen som code-security.sla_policy.updated, med den tidligere multiplikator, hvis den blev ændret. Kræver et Personal Access Token (PAT) med scopet policy:write:

curl -X PUT \
  -H "Authorization: Bearer ${FREMFORGE_PAT}" \
  -H "Content-Type: application/json" \
  -d '{"critical_sla_days":3,"high_sla_days":14,"medium_sla_days":60,"low_sla_days":null}' \
  https://frem.sh/_app/api/v1/orgs/acme/security/sla-policy

Se referencen for det offentlige REST API for den fulde OpenAPI-specifikation.

Compliance-rapporten måler overholdelsen af SLA’en over en periode, du vælger: fund rettet inden for deres SLA, rettet efter den og stadig åbne efter den, pr. alvorlighed. Når multiplikatoren er slået til, måler den hvert fund mod den samme frist som dets mærke og viser politikkens SLA ved siden af den forlængede.

Sådan bruges overskridelser på andre sider

• Widgetten Åbne sikkerheds-PR’er på /<org>/_admin/overview fremhæver først den overskredne anbefaling med højest alvorlighed.
• Det ugentlige sammendrag tæller overskridelser i overskriften.
• SIEM-videresendelse udsender revisionshændelsen code-security.sla.breached, første gang et fund passerer grænsen. Når multiplikatoren er slået til, indeholder hændelsen for et forlænget fund også full_sla_days og unreachable_sla_multiplier.

Antallet i sammendraget, feltet i oversigten og SIEM-hændelsen bruger alle de samme frister som mærkerne, inklusive multiplikatoren. Findings-API’et returnerer dem også, som et sla-objekt på hvert fund i afhængigheder og images (state, sla_days, due_at, full_sla_days, full_due_at, unreachable_multiplier, exempt). exempt er known_exploited (med exempt_sources: euvd, cisa_kev) eller exploit_likely (critical, EPSS blandt de øverste 10 %), når en valgt multiplikator ikke blev anvendt af den grund, og ellers null.

Se også

• OSV-anbefalinger: listen over rettelser, der lukker sløjfen.
• Push-beskyttelse: secrets behandles ved pre-receive i stedet for med et SLA-ur.