Examiner une technologie

La page Technologies est un tableau avec des filtres, et un panneau latéral par ligne. Cette page en décrit chaque partie, du filtrage de la liste jusqu'à la décision à prendre sur un résultat.

Filtrer l'inventaireCopy Anchor Link

La barre d'outils contient un champ de recherche et quatre filtres :

Les filtres se combinent et l'URL les porte, donc une vue filtrée se partage sous forme de lien. Le tableau liste d'abord les versions vulnérables, de la plus sévère à la moins sévère, puis les autres du statut le plus urgent jusqu'à à jour. Trois vues couvrent l'essentiel du travail :

• Vulnérables uniquement avec la sévérité à Élevé donne la liste des correctifs à appliquer.
• Aucun correctif disponible liste les bibliothèques vulnérables qu'aucune mise à jour ne corrige, celles à remplacer ou à atténuer.
• Statut sur Pas à jour, Dépassée et Obsolète donne le backlog de mises à niveau.

Une fois la liste réduite, sélectionnez une ligne pour l'ouvrir.

Ouvrir une technologieCopy Anchor Link

Sélectionnez une ligne pour ouvrir le panneau latéral, qui regroupe tout ce qui est connu sur cette version de la bibliothèque. L'en-tête affiche la bibliothèque, la version, sa sévérité la plus élevée et son statut. La recommandation vient ensuite, puis quatre sections : Vue d'ensemble, Vulnérabilités, Scripts et Historique.

Vue d'ensemble reprend la ligne avec la signification du statut, la branche et le site web de la technologie, pour que vous puissiez passer directement à ses notes de version.

Lire la mise à jour recommandéeCopy Anchor Link

Mise à jour recommandée nomme la version vers laquelle passer et pourquoi elle a été choisie, par exemple Corrige toutes les vulnérabilités connues ou Dernière version de cette branche. En dessous, le panneau liste :

• Correctif minimal, la plus petite version qui échappe à tous les avis, quand elle diffère de la recommandation.
• Dernière version de cette branche, la plus récente de la branche majeure que vous utilisez.
• Dernière version de la dernière branche, la plus récente de la branche que la bibliothèque maintient encore, avec un avertissement quand elle commence une nouvelle version majeure, pour que vous lisiez d'abord ses changements incompatibles.

Quand plus aucune branche de la bibliothèque n'est maintenue, la section s'intitule Action recommandée avec Trouver une alternative : aucune mise à jour ne la corrige, planifiez donc son remplacement.

Les raisons sont listées dans Mise à jour recommandée. Rien ne s'affiche quand la version n'a pas besoin de mise à jour.

Lire un avis de sécuritéCopy Anchor Link

Chaque entrée de Vulnérabilités est un avis de sécurité qui concerne la version que vous exécutez. Lisez-le dans cet ordre :

1. Vérifiez le libellé de sévérité, ou Sans sévérité quand la source n'en a attribué aucune.
2. Ouvrez les identifiants de l'avis. Un identifiant Common Vulnerabilities and Exposures (CVE) renvoie à sa page dans la National Vulnerability Database, et un identifiant d'avis GitHub à sa page GitHub. Un avis sans CVE affiche Aucune CVE attribuée, et il s'agit tout de même d'une vulnérabilité publiée.
3. Lisez le résumé d'une ligne qui décrit ce que la faille permet.
4. Vérifiez Versions affectées, une plage telle que À partir de 1.2.0 et avant 3.5.0, avec les éventuelles versions exclues.
5. Vérifiez Corrigé dans, la première version que cet avis ne concerne pas, ou Aucune version corrigée connue. La mise à jour recommandée tient déjà compte de tous les avis.
6. Suivez Faiblesse, la classe Common Weakness Enumeration (CWE), reliée à sa définition.
7. Ouvrez En savoir plus pour accéder aux pages de l'avis lui-même.

Une liste vide affiche Aucune vulnérabilité connue. Cela signifie qu'aucun avis des sources de vulnérabilités suivies par CentralCSP ne couvre cette version, pas que la version a été auditée.

Trouver le script qui la porteCopy Anchor Link

Scripts liste chaque fichier de script du site web qui porte cette version, du plus récemment vu au plus ancien, avec son URL, sa taille, et sa première et sa dernière observation.

L'URL répond à la question « d'où vient ce script », et chaque cas a un responsable différent :

• Votre propre origine signifie votre bundle ou une copie embarquée dans votre dépôt.
• Un hôte CDN signifie une balise script qui pointe vers lui.
• Un hôte de tag manager ou de fournisseur signifie qu'un tiers livre la bibliothèque à vos visiteurs.

Le correctif revient à ce responsable. Le même script affiche sa bibliothèque dans la colonne Technologie de la page Hashes CSP, où CSP désigne la politique de sécurité du contenu (Content Security Policy), et dans le panneau du script de l'inventaire de scripts PCI DSS (Payment Card Industry Data Security Standard), ce qui vous permet de l'y recouper.

Quand les navigateurs ne chargent plus une version, la liste affiche Plus aucun script ne porte cette version et la ligne quitte l'inventaire après sept jours.

Suivre l'historiqueCopy Anchor Link

Historique est une chronologie de ce qui a changé pour cette version sur ce site web, du plus récent au plus ancien :

L'historique survit à la ligne, si bien qu'une bibliothèque qui revient après un rollback conserve ses entrées précédentes.

Servez-vous-en pour répondre à « depuis quand est-ce un problème ». Une entrée Nouvelle vulnérabilité datée après Détectée signifie que l'avis est paru alors que la bibliothèque était déjà en production, le cas précis pour lequel la règle d'alerte Nouvelle vulnérabilité existe.

Agir sur un résultatCopy Anchor Link

La page enregistre ce qui s'exécute. Elle ne modifie pas votre site. La marche à suivre dépend de la ligne :

• Vulnérable avec une mise à jour recommandée : passez à la version recommandée. Elle est vérifiée contre chaque avis connu de la bibliothèque.
• Vulnérable sans correctif disponible : aucune version ne la corrige encore. Vérifiez si le chemin de code vulnérable s'applique à votre usage de la bibliothèque, et surveillez l'historique pour un changement de statut.
• Dépassée : planifiez le passage à la branche majeure actuelle, et lisez ses notes de version pour repérer les changements incompatibles avant de le programmer.
• Obsolète : passez à la branche maintenue vers laquelle pointe la recommandation. Quand elle indique Trouver une alternative, remplacez la bibliothèque : son prochain avis n'aura pas de correctif.
• Version Inconnue : ouvrez l'URL du script et vérifiez la version vous-même. La correspondance des vulnérabilités a besoin d'une version à comparer.
• Un script tiers : contactez le fournisseur, ou retirez la balise jusqu'à ce qu'il la mette à jour.

Pour un exemple concret de bibliothèque qui arrive par plusieurs de ces chemins à la fois, voir Quelles versions de jQuery sont vulnérables.

Si le script tourne aussi sur une page de paiement, consignez la décision comme décrit dans Justifier les scripts, là où votre évaluateur la lira.

Exporter l'inventaire en CSVCopy Anchor Link

Pour télécharger la vue actuelle en CSV, sélectionnez Exporter dans la barre d'outils. L'export respecte les filtres et n'a pas de limite de lignes. Le fichier porte le nom du site web et du jour, et contient ces colonnes :

• Nom et version de la bibliothèque
• Statut
• Vulnérable ou non
• Nombre d'avis
• Sévérité la plus élevée
• Nombre de scripts
• Branche, dernière version de la branche et dernière version de la dernière branche
• Mise à jour recommandée et raison de ce choix
• Première apparition et dernière observation
• URL du script vu le plus récemment

L'export filtré est le plus utile : Vulnérables uniquement donne la liste des correctifs à remettre à l'équipe responsable du site. Le même export, et la liste qu'il reflète, sont disponibles sur l'API REST pour tout ce qui doit être planifié.

Prochaines étapesCopy Anchor Link

• Démarrer pour l'ordre de la première revue et les deux règles d'alerte
• Règles pour être notifié du prochain avis
• Hashes CSP pour les reports de hash bruts
• Vue d'ensemble de Technologies pour les statuts et le plafond quotidien