漏洞管理策略

使用漏洞管理策略来自动解决不再被检测到的漏洞。这有助于减少漏洞分类的工作量。

当扫描器在默认分支上检测到漏洞时，会创建一个状态为 需要分类 的漏洞记录。在漏洞修复后，下一次安全扫描运行时，扫描器会在记录的活动日志中添加 不再检测到，但记录的状态不会改变。您可以通过手动或使用漏洞管理策略将状态更改为 已解决。

使用漏洞管理策略可以确保规则被一致地应用。例如，您可以创建一个策略，将那些在默认分支上不再被检测到的漏洞标记为已解决，但仅限于由 SAST 创建且风险等级为低的漏洞。漏洞管理策略只影响状态为 需要分类 或 已确认 的漏洞。

当流水线针对默认分支运行时，会应用漏洞管理策略。对于每个不再被同一扫描器检测到且符合策略规则的漏洞：

• 漏洞记录的状态由 GitLab 安全策略机器人 用户设置为 已解决。
• 会在漏洞记录中添加一条关于状态变更的注释。

为限制流水线的负载和持续时间，每个流水线最多将 1,000 个漏洞设置为 已解决 状态。这会在每个流水线中重复，直到所有不再被检测到的漏洞都被标记为 已解决。

限制条件

• 每个策略最多可以分配五条规则。
• 每个安全策略项目最多可以分配五个漏洞管理策略。
• 当密钥检测扫描发现之前检测到的密钥不再被检测到时，该漏洞不会被自动解决。相反，它保持 需要分类 状态，因为被移除的密钥已经暴露。只有在密钥被撤销或轮换后，才应手动解决漏洞状态。

创建漏洞管理策略

创建漏洞管理策略来自动解决符合特定条件的漏洞。

先决条件：

• 默认情况下，只有群组、子群组或项目所有者拥有创建或分配安全策略项目所需的权限。这可以通过自定义角色进行更改。

要创建漏洞管理策略：

1. 在左侧边栏，选择 搜索或跳转至 并找到您的项目。
2. 转到 安全 > 策略。
3. 选择 新建策略。
4. 在 漏洞管理策略 中，选择 选择策略。
5. 填写字段并将策略的状态设置为 启用。
6. 选择 创建策略。
7. 审阅并合并合并请求。

漏洞管理策略创建后，策略规则将应用于默认分支上的流水线。

编辑漏洞管理策略

编辑漏洞管理策略以更改其规则。

1. 在左侧边栏，选择 搜索或跳转至 并找到您的项目。
2. 转到 安全 > 策略。
3. 在策略的行中，选择 编辑。
4. 编辑策略的详细信息。
5. 选择 保存更改。
6. 审阅并合并合并请求。

漏洞管理策略已更新。当下一个流水线针对默认分支运行时，将应用策略的规则。

模式

当创建或编辑漏洞管理策略时，会根据漏洞管理策略模式进行检查以确认其有效性。