Help us learn about your current experience with the documentation. Take the survey.
漏洞扫描器维护
- Tier: Free, Premium, Ultimate
- Offering: GitLab.com, GitLab Self-Managed, GitLab Dedicated
以下漏洞扫描器及其数据库会定期更新：
| 安全扫描工具 | 漏洞数据库更新 |
|---|---|
| 容器扫描 | 每日运行一个作业，使用上游扫描器的最新漏洞数据库更新来构建新镜像。GitLab 通过内部警报监控此作业，当数据库超过 48 小时未更新时，会通知工程团队。更多信息，请参阅 漏洞数据库更新。 |
| 依赖扫描 - Gemnasium | 依赖 GitLab 咨询数据库，该数据库每日更新，使用来自国家漏洞数据库 (NVD) 和 GitHub 咨询数据库的数据。 |
| 动态应用程序安全测试 (DAST) | DAST 分析器会定期更新。 |
| 密钥检测 | GitLab 维护 检测规则 并 接受社区贡献。如果相关更新可用，扫描引擎至少每月更新一次。 |
| 静态应用程序安全测试 (SAST) | 扫描规则的来源取决于每种 支持的编程语言 使用的是哪个 分析器。GitLab 为基于 Semgrep 的分析器维护一套规则集，并根据内部研究和用户反馈定期更新。对于其他分析器，规则集来自上游的开源扫描器。如果相关更新可用，每个分析器至少每月更新一次。 |
在使用相同主版本号分析器的 GitLab 版本中，您无需更新它们即可获取最新的漏洞定义。安全工具以 Docker 镜像的形式发布。启用这些工具的预置作业定义根据 语义化版本控制 使用主版本标签。每个工具的新版本都会覆盖这些标签。尽管在分析器的主版本中您会自动获得扫描工具的最新版本，但这种方法存在一些 已知问题。
要获取现有漏洞的最新信息，您可能需要重新运行默认分支的流水线。