Anonyma siffror
fremforge publicerar siffror om hur dess säkerhetsfunktioner fungerar i praktiken, till exempel hur många öppna beroendefynd som saknar anropsväg till den sårbara koden, eller hur lång tid fixar tar. Organisationer kan välja att bidra med anonyma siffror till dem. Inställningen är avstängd tills en ägare av organisationen slår på den, och ingen organisation namnges någonsin.
Inga siffror har publicerats än. En publicerad siffra måste bygga på minst fem bidragande organisationer (se När en siffra får publiceras), och det finns inte fem än. Den här sidan beskriver metoden i förväg så att den kan granskas innan någon siffra dyker upp.
Slå på eller av
Inställningen finns under Säkerhet › Rapporter › Åtgärdsmått (/<org>/_admin/security/reports/remediation), i kortet Bidra med anonyma siffror, som visar om den är på, sedan när och hur många dagar som är sparade. Organisationens ägare kan ändra den.
- På: från nästa morgon (UTC) sparas en rad med siffror för organisationen per dag.
- Av: insamlingen upphör, och alla dagar som redan sparats för organisationen tas bort direkt.
Samma inställning finns i API:et och i Terraform:
GET /_app/api/v1/orgs/{org}/security/anonymous-counts policy:read
PUT /_app/api/v1/orgs/{org}/security/anonymous-counts policy:write {"enabled": true}GET returnerar enabled, enabled_at, stored_days och min_orgs_to_publish. PUT returnerar dessutom previous, changed och deleted_rows, de dagar som togs bort när inställningen stängdes av. Varje ändring finns i granskningsloggen som code-security.anonymous_counts.updated.
resource "fremforge_anonymous_counts" "this" {
org = "acme"
enabled = true
}Om du förstör Terraform-resursen lämnas inställningen som den är. Sätt enabled = false för att sluta bidra.
Vad som delas
En gång om dagen, för den föregående hela UTC-dagen:
| Siffra | Vad den är |
|---|---|
| Öppna fynd | Hur många fynd som är öppna, per typ (beroenden, images, SAST, hemligheter, licenser och resten) och allvarlighetsgrad, vid insamlingstillfället. |
| Nåbarhet | Hur många öppna beroendefynd på standard-branches som är nåbara, saknar anropsväg eller är okända, som på sidan Åtgärdsmått. |
| Pull requests med säkerhetsfixar | Hur många pull requests med säkerhetsfixar som öppnades och hur många som mergades den dagen. |
| Tid till fix | För fynd som åtgärdades den dagen, per allvarlighetsgrad: hur många, hur länge de var öppna, och ett histogram över de tiderna i fasta intervall (under 1 dag, 1–2, 2–4, 4–7, 7–14, 14–30, 30–60, 60–90, 90–180 dagar, och längre). |
Delas aldrig: namn på repon, paket, images, säkerhetsmeddelanden eller regler, kod, sökvägar och allt som rör personer. Den sparade raden innehåller siffrorna och din organisations interna ID. ID:t används bara för att ta bort dina dagar när du stänger av inställningen eller när organisationen tas bort, och för att ersätta en dag i stället för att lägga till en andra. Inget som publiceras eller delas innehåller det, och de verktyg som fremforges personal använder för att läsa siffrorna ser ingen organisationsidentitet.
Tid till fix räknar inte med fynd som stängts av automatisk lösning, som stänger ett fynd enligt policy i stället för att åtgärda det, eller fynd vars öppningstid inte är känd eftersom de registrerades innan fyndhistoriken började.
När en siffra får publiceras
- Bara från organisationer som har slagit på inställningen. fremforge mäter också sina egna funktioner i alla organisationer i form av siffror, för att driva tjänsten. De interna mätningarna publiceras aldrig.
- Minst fem organisationer bakom varje siffra. Varje siffra kontrolleras för sig: en siffra om tid till fix för kritiska fynd kräver fem organisationer som åtgärdade ett kritiskt fynd under perioden, inte bara fem organisationer totalt. En siffra från färre publiceras inte alls, i stället för att avrundas eller visas med en reservation.
- Ingen organisation namnges, och inget publiceras som skulle göra det möjligt att peka ut en.
- fremforges egna organisationer hålls isär. De visas separat när vi kontrollerar siffrorna och ingår aldrig i en publicerad siffra.
- Exempelrepon räknas aldrig. Fynd och pull requests med fixar på ett exempelrepo utelämnas, och en organisation vars enda repo är ett exempel bidrar inte med några siffror alls, så den kan aldrig vara en av de fem.
- En juridisk granskning kommer först. Innan någon siffra publiceras går publiceringen igenom en juridisk granskning. Ingen siffra har publicerats.
Hur siffrorna tas fram
- Ögonblicksbilder (öppna fynd, nåbarhet) använder varje bidragande organisations senaste dag i perioden, summerade.
- Flöden (pull requests, fixar) summerar varje dag i perioden, vanligtvis 30 eller 90 dagar.
- Tid till fix över organisationer redovisas som det intervall i histogrammet där den totala medianen hamnar, till exempel “7–14 dagar”. En median av varje organisations median skulle inte vara medianen av alla fixar, så vi beräknar ingen sådan.
- Varje publicerad siffra anger sin period, antalet bidragande organisationer och en länk till den här sidan.
Lagring
En sparad dag behålls i 25 månader och tas sedan bort. Om du stänger av inställningen tas organisationens dagar bort direkt. Om organisationen tas bort tas de också bort.