의존성 스캔으로 감지된 취약점 처리

예약된 파이프라인은 매일 밤 dependency_scanning 작업을 실행합니다. 이 작업은 Vulnerability Report 에 새로운 취약점을 추가합니다.

슬랙 알림은 새로운 취약점이 감지될 때 #g_distribution 채널에 알립니다. 이 알림을 받으면 다음 단계를 완료하세요.

1. Omnibus 취약점 보고서 을 방문하고 적절한 취약점을 찾습니다. 취약점이 적절하다면:

   • Create Issue를 선택하여 omnibus-gitlab 이슈 트래커에 기밀 이슈를 엽니다.
   • 취약점 상태를 Confirmed로 변경합니다. 취약점이 잘못된 긍정, 중복 또는 그 외의 처리할 수 없는 경우 상태를 Dismiss로 변경하세요.

2. 이 문제에 security 및 For Scheduling 라벨을 지정합니다. GitLab 보안팀은 escalator에 의한 자동화로 이 문제를 인식합니다.

3. 보안팀이 Distribution의 도움을 받아 문제를 확인하고 예약합니다.

4. 문제가 우리에게 적합한 경우 보안팀은:

   • 심각도와 우선순위에 기반하여 문제를 예약합니다.
   • 관련된 모든 브랜치를 대상으로 하는 필요한 병합 요청(MR)를 생성합니다.

5. 취약점을 수정하는 MR이 병합되고 해당 문제가 닫힌 후:

   • Omnibus 취약점 보고서을 방문합니다.
   • 적절한 취약점을 찾아 상태가 자동으로 변경되지 않은 경우 Resolved로 설정합니다.

6. 이 문제가 우리의 사용 사례에 해당하지 않는 경우, 해당 문제의 상태를 Vulnerability Report 페이지에서 Dismissed로 설정하고 해당 문제를 닫습니다.