Unterstützte SARIF Eigenschaften

Das Static Analysis Results Interchange Format (SARIF) ist ein Ausgabedateiformat, das in Softwarezusammensetzungsanalysen (SCA) und statischen Analyseberichten bei Amazon verfügbar ist CodeCatalyst. Das folgende Beispiel zeigt, wie die Konfiguration SARIF in einem statischen Analysebericht manuell vorgenommen wird:

Reports:
MySAReport:
Format: SARIFSA
IncludePaths:
    - output/sa_report.json
SuccessCriteria:
    StaticAnalysisFinding:
    Number: 25
    Severity: HIGH

CodeCatalyst unterstützt die folgenden SARIF Eigenschaften, mit denen Sie die Darstellung der Analyseergebnisse in Ihren Berichten optimieren können.

sarifLog-Objekt

Name	Erforderlich	Beschreibung
$schema	Ja	Das URI des SARIF JSON Schemas für Version 2.1.0.
version	Ja	CodeCatalyst unterstützt nur SARIF Version 2.1.0.
runs[]	Ja	Eine SARIF Datei enthält ein Array mit einem oder mehreren Durchläufen, von denen jeder einen einzelnen Lauf des Analysewerkzeugs darstellt.

run-Objekt

Name	Erforderlich	Beschreibung
tool.driver	Ja	Ein toolComponent Objekt, das das Analysewerkzeug beschreibt.
tool.name	Nein	Eine Eigenschaft, die den Namen des Tools angibt, das zur Durchführung der Analyse verwendet wird.
results[]	Ja	Die Ergebnisse des Analysetools, die am angezeigt werden CodeCatalyst.

toolComponent-Objekt

Name	Erforderlich	Beschreibung
name	Ja	Der Name des Analysetools.
properties.artifactScanned	Nein	Die Gesamtzahl der vom Tool analysierten Artefakte.
rules[]	Ja	Eine Reihe von reportingDescriptor Objekten, die Regeln darstellen. Auf der Grundlage dieser Regeln findet das Analysetool Probleme im analysierten Code.

reportingDescriptor-Objekt

Name	Erforderlich	Beschreibung
id	Ja	Die eindeutige Kennung für die Regel, die verwendet wird, um auf ein Ergebnis zu verweisen. Maximale Länge: 1.024 Zeichen
name	Nein	Der Anzeigename der Regel. Maximale Länge: 1.024 Zeichen
shortDescription.text	Nein	Eine verkürzte Beschreibung der Regel. Maximale Länge: 3.000 Zeichen
fullDescription.text	Nein	Eine vollständige Beschreibung der Regel. Maximale Länge: 3.000 Zeichen
helpUri	Nein	Eine Zeichenfolge, die so lokalisiert werden kann, dass sie den absoluten Wert URI der Primärdokumentation für die Regel enthält. Maximale Länge: 3.000 Zeichen
properties.unscore	Nein	Eine Markierung, die angibt, ob das Scan-Ergebnis bewertet wurde.
properties.score.severity	Nein	Ein fester Satz von Zeichenketten, die den Schweregrad des Ergebnisses angeben. Maximale Länge: 1.024 Zeichen
properties.cvssv3_baseSeverity	Nein	Eine qualitative Bewertung des Schweregrads des Common Vulnerability Scoring System v3.1.
properties.cvssv3_baseScore	Nein	Ein CVSS v3-Basiswert im Bereich von 0,0 bis 10,0.
properties.cvssv2_severity	Nein	Wenn CVSS v3-Werte nicht verfügbar sind, wird CodeCatalyst nach CVSS v2-Werten gesucht.
properties.cvssv2_score	Nein	Ein CVSS v2-Basiswert im Bereich von 0,0 bis 10,0.
properties.severity	Nein	Ein fester Satz von Zeichenketten, die den Schweregrad des Ergebnisses angeben. Maximale Länge: 1.024 Zeichen
defaultConfiguration.level	Nein	Der Standardschweregrad einer Regel.

result-Objekt

Name	Erforderlich	Beschreibung
ruleId	Ja	Die eindeutige Kennung für die Regel, die verwendet wird, um auf ein Ergebnis zu verweisen. Maximale Länge: 1.024 Zeichen
ruleIndex	Ja	Der Index der zugehörigen Regel in der Tool-Komponenterules[].
message.text	Ja	Eine Meldung, die das Ergebnis beschreibt und die Meldung für jedes Ergebnis anzeigt. Maximale Länge: 3.000 Zeichen
rank	Nein	Ein Wert zwischen 0,0 und einschließlich 100,0, der die Priorität oder Wichtigkeit des Ergebnisses angibt. Auf dieser Skala steht der Wert 0,0 für die niedrigste Priorität und 100,0 für die höchste Priorität.
level	Nein	Der Schweregrad des Ergebnisses. Maximale Länge: 1.024 Zeichen
properties.unscore	Nein	Eine Markierung, die angibt, ob das Scanergebnis bewertet wurde.
properties.score.severity	Nein	Ein fester Satz von Zeichenketten, die den Schweregrad des Ergebnisses angeben. Maximale Länge: 1.024 Zeichen
properties.cvssv3_baseSeverity	Nein	Eine qualitative Bewertung des Schweregrads des Common Vulnerability Scoring System v3.1.
properties.cvssv3_baseScore	Nein	Ein CVSS v3-Basiswert im Bereich von 0,0 bis 10,0.
properties.cvssv2_severity	Nein	Wenn CVSS v3-Werte nicht verfügbar sind, wird CodeCatalyst nach CVSS v2-Werten gesucht.
properties.cvssv2_score	Nein	Ein CVSS v2-Basiswert im Bereich von 0,0 bis 10,0.
properties.severity	Nein	Ein fester Satz von Zeichenketten, die den Schweregrad des Ergebnisses angeben. Maximale Länge: 1.024 Zeichen
locations[]	Ja	Die Gruppe von Orten, an denen das Ergebnis erkannt wurde. Es sollte nur ein Standort angegeben werden, es sei denn, das Problem kann nur behoben werden, indem an jeder angegebenen Position eine Änderung vorgenommen wird. CodeCatalyst verwendet den ersten Wert in der Ortsmatrix, um das Ergebnis zu kommentieren. Maximale Anzahl von location Objekten: 10
relatedLocations[]	Nein	Eine Liste zusätzlicher Ortsverweise im Ergebnis. Maximale Anzahl von location Objekten: 50
fixes[]	Nein	Eine Reihe von fix Objekten, die der Empfehlung des Scan-Tools entsprechen. CodeCatalyst verwendet die erste Empfehlung im fixes Array.

location-Objekt

Name	Erforderlich	Beschreibung
physicalLocation	Ja	Identifiziert das Artefakt und die Region.
logicalLocations[]	Nein	Die Gruppe von Orten, die namentlich ohne Bezugnahme auf das Artefakt beschrieben werden.

physicalLocation-Objekt

Name	Erforderlich	Beschreibung
artifactLocation.uri	Ja	Die URI Angabe des Speicherorts eines Artefakts, normalerweise eine Datei, die sich entweder im Repository befindet oder während eines Builds generiert wurde.
fileLocation.uri	Nein	Der FallbackURI, der den Speicherort der Datei angibt. Dies wird verwendet, wenn der artifactLocation.uri Wert leer zurückgegeben wird.
region.startLine	Ja	Die Zeilennummer des ersten Zeichens in der Region.
region.startColumn	Ja	Die Spaltennummer des ersten Zeichens in der Region.
region.endLine	Ja	Die Zeilennummer des letzten Zeichens in der Region.
region.endColumn	Ja	Die Spaltennummer des letzten Zeichens in der Region.

logicalLocation-Objekt

Name	Erforderlich	Beschreibung
fullyQualifiedName	Nein	Zusätzliche Informationen, die den Speicherort des Ergebnisses beschreiben. Maximale Länge: 1.024 Zeichen

fix-Objekt

Name	Erforderlich	Beschreibung
description.text	Nein	Eine Meldung, die für jedes Ergebnis eine Empfehlung enthält. Maximale Länge: 3.000 Zeichen
artifactChanges.[0].artifactLocation.uri	Nein	Gibt URI den Standort des Artefakts an, das aktualisiert werden muss.