Anonyme tellinger

fremforge publiserer tall om hvordan sikkerhetsfunksjonene fungerer i praksis, for eksempel hvor mange åpne avhengighetsfunn som ikke har noen kallsti til den sårbare koden, eller hvor lang tid rettelser tar. Organisasjoner kan velge å bidra med anonyme tellinger til disse tallene. Innstillingen er av inntil en eier av organisasjonen slår den på, og ingen organisasjon blir noen gang navngitt.

Ingen tall er publisert ennå. Et publisert tall må bygge på minst fem bidragende organisasjoner (se Når et tall kan publiseres), og det er ikke fem ennå. Denne siden beskriver metoden på forhånd, slik at den kan kontrolleres før noe tall dukker opp.

Slå det på eller av

Innstillingen ligger under Sikkerhet › Rapporter › Utbedringstall (/<org>/_admin/security/reports/remediation), i kortet Bidra med anonyme tall, som viser om den er på, siden når og hvor mange dager som er lagret. Eiere av organisasjonen kan endre den.

På: fra neste morgen (UTC) lagres én rad med tellinger for organisasjonen per dag.
Av: innsamlingen stopper, og alle dager som allerede er lagret for organisasjonen, slettes umiddelbart.

Den samme innstillingen finnes i API-et og i Terraform:

GET /_app/api/v1/orgs/{org}/security/anonymous-counts   policy:read
PUT /_app/api/v1/orgs/{org}/security/anonymous-counts   policy:write   {"enabled": true}

GET returnerer enabled, enabled_at, stored_days og min_orgs_to_publish. PUT returnerer i tillegg previous, changed og deleted_rows, dagene som ble slettet da den ble slått av. Hver endring står i revisjonsloggen som code-security.anonymous_counts.updated.

resource "fremforge_anonymous_counts" "this" {
  org     = "acme"
  enabled = true
}

Sletter du Terraform-ressursen, blir innstillingen stående som den er. For å slutte å bidra setter du enabled = false.

Hva som deles

Én gang om dagen, for det forrige fullstendige døgnet (UTC):

Telling	Hva det er
Åpne funn	Hvor mange funn som er åpne, etter type (avhengigheter, imager, SAST, secrets, lisenser og resten) og alvorlighetsgrad, på innsamlingstidspunktet.
Nåbarhet	Hvor mange åpne avhengighetsfunn på standardbrancher som er nåbare, ikke har noen kallsti eller er ukjente, som på siden Målinger av utbedring.
Pull requests med sikkerhetsrettelser	Hvor mange pull requests med sikkerhetsrettelser som ble åpnet, og hvor mange som ble merget den dagen.
Tid til rettelse	For funn som ble rettet den dagen, per alvorlighetsgrad: hvor mange, hvor lenge de var åpne, og et histogram over disse tidene i faste intervaller (under 1 dag, 1–2, 2–4, 4–7, 7–14, 14–30, 30–60, 60–90, 90–180 dager, og lenger).

Deles aldri: navn på repositoryer, pakker, imager, sårbarhetsvarsler eller regler, kode, filstier og noe som helst om personer. Den lagrede raden inneholder tellingene og organisasjonens interne ID. ID-en brukes bare til å slette dagene dine når du slår dette av eller organisasjonen slettes, og til å erstatte en dag i stedet for å legge til en dag nummer to. Ingenting som publiseres eller deles, bærer den, og fremforges interne verktøy som leser tellingene, ser ingen organisasjonsidentitet.

Tid til rettelse utelater funn som ble lukket av automatisk løsning (auto-resolve), som lukker et funn etter policy i stedet for å rette det, og funn der åpningstidspunktet ikke er kjent fordi de ble registrert før funnhistorikken begynte.

Når et tall kan publiseres

Bare fra organisasjoner som har slått det på. fremforge måler også sine egne funksjoner på tvers av alle organisasjoner som tellinger, for å drifte tjenesten. Disse interne målingene publiseres aldri.
Minst fem organisasjoner bak hvert tall. Hvert tall kontrolleres for seg: et tall om tid til rettelse for kritiske funn trenger fem organisasjoner som rettet et kritisk funn i perioden, ikke bare fem organisasjoner totalt. Et tall fra færre publiseres ikke i det hele tatt, i stedet for å rundes av eller vises med et forbehold.
Ingen organisasjon navngis, og ingenting publiseres som ville gjøre det mulig å peke ut én.
fremforges egne organisasjoner holdes atskilt. De vises separat når vi kontrollerer tallene, og er aldri en del av et publisert tall.
Eksempel-repositoryer teller aldri. Funn og pull requests med rettelser i et eksempel-repository utelates, og en organisasjon der det eneste repositoryet er et eksempel, bidrar ikke med noen tellinger i det hele tatt, så den kan aldri være én av de fem.
En juridisk gjennomgang kommer først. Før noe tall publiseres, går publiseringen gjennom en juridisk gjennomgang. Ingen tall er publisert.

Hvordan tallene lages

Øyeblikksbilder (åpne funn, nåbarhet) bruker hver bidragende organisasjons siste dag i perioden, summert.
Strømmer (pull requests, rettelser) summerer hver dag i perioden, vanligvis 30 eller 90 dager.
Tid til rettelse på tvers av organisasjoner rapporteres som det histogramintervallet den samlede medianen faller i, for eksempel «7–14 dager». En median av hver organisasjons median ville ikke vært medianen av alle rettelsene, så vi beregner ikke en slik.
Hvert publiserte tall har med perioden, antall bidragende organisasjoner og en lenke til denne siden.

Oppbevaring

En lagret dag beholdes i 25 måneder og slettes deretter. Slår du innstillingen av, slettes organisasjonens dager umiddelbart. Sletter du organisasjonen, slettes de også.

Unntak Kontrollbevis