お客様のセキュリティスキャナーレビューリクエストへの対応
私たちは自社製品を セキュリティスキャナーを使用してスキャンしています。私たちの Engineering チームは、スキャナーで検出された脆弱性を定期的に修正しています。これは、パッチが利用可能であり、かつ 私たちのコンテキストで悪用される可能性がある脆弱性の修正を優先する場合に行われます。
私たちは、お客様自身のスキャンツール、または GitLab に統合されたツールで検出された所見について、お客様から問い合わせを受けることがよくあります。私たちは、これらの問題を評価する私たちの専門知識を信頼してくださるお客様の信頼を大切にしています。そのため、所見に関するコンテキスト情報を含む所見注釈を提供することを目指しています。
スコープ
GitLab イメージ
私たちは、次を含む GitLab ファーストパーティイメージで検出された脆弱性のレビューリクエストを受け付けています。
- GitLab Omnibus -
gitlab/gitlab-ee(Docker Hub) - GitLab Runner -
gitlab/gitlab-runner(Docker Hub) - GitLab CNG Images
- GitLab Security Scanners
提供する注釈は、GitLab の最新リリースバージョンに基づきます。GitLab の過去バージョンに関するリクエストについては、所見が最新バージョンで修正済みかどうか、および未解決の所見について私たちが持っているコンテキスト情報を注釈します。
どのスキャナー結果を受け付けていますか？
私たちは任意のスキャナーからの結果を受け付けますが、注釈は私たちの環境で使用しているスキャナーに基づきます。サードパーティのセキュリティスキャナーを使用している場合は、私たちに提出する各脆弱性について次の情報を提供してください。
- コンテナ名とタグ
- 使用したスキャナー
ランタイム lockfile の所見はスコープ外です
Gemfile.lock などのパッケージマネージャーの lockfile は、稼働中のシステムの実際の状態を反映していない場合があります。システムにインストールされた lockfile は、インストールプロセスの成果物である可能性があり（過去のインストールやアップグレードの残存物である可能性さえあります）、実際に実行されているものを一般的に表すものではありません。
lockfile に記載された依存関係は、特定の環境にインストールされていない場合（たとえば、本番ビルドから除外された開発専用の依存関係）、解決戦略や動的インポートによって上書きされている場合、または手動介入やツールの挙動により lockfile が指定するものとは異なるバージョンでインストールされている場合があります。
そのため、私たちはランタイム／ワークロードの lockfile スキャン所見を、対応不能な false positive と見なし、注釈のスコープ外とします。
Wiz などの一部のスキャナーは、ランタイムスキャンから lockfile を自動的に除外するよう設定できます。
ランタイムスキャン結果に lockfile の所見が含まれている場合、これらの lockfile 所見は注釈から除外される場合があります。
所見データフィールド
各所見について、次を含めてください。
- パッケージ名
- バージョン
- CVE id
- 深刻度
- 修正状態
- 修正バージョン（利用可能な場合）
- 場所／ファイルパス
- アーティファクト種別（OS パッケージ、ライブラリなど）（利用可能な場合）
環境の詳細や、懸念している具体的なセキュリティリスクなど、役立つコンテキストをリクエストに必ず追加してください。
形式は、たとえば CSV、JSON、内部スプレッドシートなど、編集可能なファイル形式である必要があります。
GitLab はすべての深刻度の脆弱性についてスキャナー結果をレビューしますか？
現時点では、Critical および High の脆弱性に関するスキャナー結果について注釈を提供できます。Medium および Low の所見にも拡大できるよう取り組んでいますが、現時点ではベストエフォートで提供されます。
SLO
私たちの目標は、お客様からのリクエストに 10 営業日以内に回答することです。
上記の基準に準拠したスキャナー所見はどこに提出すればよいですか？
お客様の場合、私たちの Field Security チームが、リクエストを社内でフォローアップするために、このテンプレートを使用して私たちの Issue トラッカーに Issue を作成できます。社内チームメンバーは、上記のガイドラインに従っている限り、直接 Issue を作成できます。
c955a93f)