Åtgärdsfrist (SLA)

Varje öppet fynd (SAST, beroenden, container-images, skadlig kod) har en SLA-etikett bredvid sin allvarlighetsgrad. Etiketten beräknas från en indata, hur gammalt fyndet är, och en konfiguration, organisationens SLA-policy per allvarlighetsgrad.

Standardvärden

Från början får varje organisation de här målen:

Standardvärdena följer vanliga patchningsintervall i företag som anges i NIST SP 800-40r4 och liknande ramverk. Skärp dem om dina revisionskrav kräver det.

Lägen som etiketten kan visa

Etikettens färg visar läget och texten visar dagarna.

• Within (grön): inom SLA:n, mindre än 80 % av tiden fram till tidsgränsen har gått. Etiketten visar fyndets ålder mot SLA:n, till exempel 12/30 d.
• Approaching (gul): mellan 80 % och 100 % av tiden fram till tidsgränsen. Planera en fix den här veckan. Etiketten visar dagarna som är kvar, till exempel 5 dagar kvar.
• Breached (röd): tidsgränsen har passerats. Räknas i veckosammanfattningen och i rutan SLA-överträdelser i översikten. Etiketten visar hur långt tidsgränsen har passerats, till exempel 3 d över SLA.
• Ingen SLA (grå): ingen policy är kopplad till allvarlighetsgraden (standard för low). Etiketten visar Ingen SLA.

Tröskeln på 80 % av tiden för approaching är medveten: de flesta fixar kräver verkligt arbete att skicka ut, granska och rulla ut, och en varning före tidsgränsen ger dig den marginalen.

Ställa in policy per organisation

SLA:n per organisation kan redigeras under Säkerhet › Prioritera › Åtgärdsfrist (SLA) (/<org>/_admin/security/prioritise/sla). Välj en snävare tidsgräns per allvarlighetsgrad. Beräkningen av överträdelser läser organisationens security_sla_policy-rad direkt, ingen omskanning behövs. Standardvärdena ovan gäller tills du ändrar dem. Om du behöver en anpassad SLA som inte bygger på kalendertid (till exempel arbetsdagar eller helgdagskalendrar), öppna ett supportärende.

Fynd som inte är nåbara (valfri multiplikator)

För fynd i beroenden och container-images beräknar fremforge en bedömning av nåbarhet. Din organisation kan förlänga SLA:n för fynd vars bedömning är inte nåbar (unreachable) med en heltalsfaktor från 1 till 4, med multiplikatorn på samma sida, Säkerhet › Prioritera › Åtgärdsfrist (SLA). Standardvärdet, 1, betyder avstängt.

Tidsgränsen räknas alltid från när fyndet först sågs. Om en senare skanning hittar en anropsväg, eller inte kan avgöra, gäller hela SLA:n igen direkt, så ett fynd kan gå rakt till Breached. En förlängd etikett visar ×2 (eller ×3, ×4), och dess verktygstips anger båda tidsgränserna; med multiplikatorn påslagen förklarar verktygstipset på en etikett med hela SLA:n varför den inte förlängts. SAST-, licens-, hemlighets- och skadlig kod-fynd har ingen bedömning och behåller hela SLA:n.

Multiplikatorn ändrar bara tidsgränser. Vad som blockerar en pull request är oförändrat, och inget fynd döljs eller avfärdas.

Fynd på skyddade release-brancher visar också ett åtgärdsdatum från den här policyn, men de räknas inte i SLA-överträdelser, SLA-rutan eller något SLA-mått.

Om SLA:ns omfattning. Tabellen ovan är klockan för att åtgärda fynd: hur lång tid du har på dig att stänga ett fynd som tagits upp mot din kod. Den skiljer sig från två andra SLA:er som beskrivs på andra ställen i fremforge:

• SLA för patchning av plattformens CVE:er (Kritisk 48 h / Hög 72 h / Medel 7 d) gäller hur snabbt fremforge patchar sin egen stack, se åtagandena för plattformssäkerhet under Säkerhet och leveranskedja.
• SLA för sårbarhetsrapportering (kritisk fix inom 24 h / offentliggörande 30 d efter fix, osv.) gäller sårbarheter i fremforge självt som rapporterats av forskare, se Rapportering av sårbarheter.

Via REST API

SLA-policyn per allvarlighetsgrad kan ställas in via det publika API:t, vilket är användbart när du vill tillämpa samma hållning i många organisationer från ett konfigurationsskript eller en compliance-pipeline.

• Uppdatera policy PUT /_app/api/v1/orgs/:slug/security/sla-policy body: { "critical_sla_days": 3, "high_sla_days": 14, "medium_sla_days": 60, "low_sla_days": null, "unreachable_sla_multiplier": 2 }

Varje dagfält accepterar 1–365 dagar, eller null för att lämna en allvarlighetsgrad utan SLA; ett dagfält som saknas räknas som null. unreachable_sla_multiplier accepterar ett heltal från 1 (av) till 4; till skillnad från dagfälten behålls det sparade värdet om du utelämnar det. GET /_app/api/v1/orgs/:slug/security returnerar policyn. Varje ändring loggas som code-security.sla_policy.updated, med den tidigare multiplikatorn när den ändrats. Kräver en personlig åtkomsttoken (PAT) med scopet policy:write:

curl -X PUT \
  -H "Authorization: Bearer ${FREMFORGE_PAT}" \
  -H "Content-Type: application/json" \
  -d '{"critical_sla_days":3,"high_sla_days":14,"medium_sla_days":60,"low_sla_days":null}' \
  https://frem.sh/_app/api/v1/orgs/acme/security/sla-policy

Se referensen för det publika REST-API:t för den fullständiga OpenAPI-specifikationen.

Compliancerapporten mäter SLA-efterlevnaden under en period du väljer: fynd som åtgärdats inom sin SLA, åtgärdats efter den och fortfarande är öppna efter den, per allvarlighetsgrad. Med multiplikatorn påslagen mäts varje fynd mot samma tidsgräns som dess etikett, och policyns SLA visas bredvid den förlängda.

Hur överträdelser används på andra sidor

• Widgeten Öppna säkerhets-PR:er på /<org>/_admin/overview lyfter fram den överträdda rekommendationen med högst allvarlighetsgrad först.
• Veckosammanfattningen räknar överträdelser i den inledande sammanfattningen.
• SIEM-vidarebefordran skickar granskningshändelsen code-security.sla.breached första gången ett fynd passerar gränsen. Med multiplikatorn påslagen innehåller händelsen för ett förlängt fynd också full_sla_days och unreachable_sla_multiplier.

Antalet i sammanfattningen, rutan i översikten och SIEM-händelsen använder alla samma tidsgränser som etiketterna, inklusive multiplikatorn. Findings API returnerar dem också, som ett sla-objekt på varje fynd för beroenden och images (state, sla_days, due_at, full_sla_days, full_due_at, unreachable_multiplier, exempt). exempt är known_exploited (med exempt_sources: euvd, cisa_kev) eller exploit_likely (kritisk, EPSS bland de översta 10 %) när en påslagen multiplikator inte tillämpades av det skälet, annars null.

Se även

• OSV-rekommendationer: fixlistan som sluter cirkeln.
• Push-skydd: hemligheter stoppas redan vid pre-receive i stället för att få en SLA-klocka.