Список поддерживаемых сканеров

Инструкция по загрузке результатов сканирования.

Secret Scan

SAST

Software Composition Analysis (SCA)

DAST

IaC

Сканеры для оркестрации

Особенности обработки SARIF

Определение серьёзности

При загрузке результатов в формате SARIF (включая SARIF-based сканеры: Svace, KICS, Checkov) платформа определяет серьёзность (severity) дефекта по следующему приоритету:

1. result.level — уровень, указанный непосредственно в результате
2. rule.properties.security-severity — числовой CVSS-подобный скоринг
3. rule.properties["problem.severity"] или rule.properties.severity
4. rule.defaultConfiguration.level — уровень по умолчанию из определения правила
5. Если ни одно из полей не найдено — присваивается None

Маппинг SARIF level → Vampy severity:

Пользовательские сабпарсеры

Несколько инструментов могут выгружать результаты в одном базовом формате (SARIF, SBOM, GitLab SAST, GitLab DAST), но с разным id внутри отчёта. Пользовательские сабпарсеры сопоставляют этот id отдельному сканеру в Vampy: он отображается в UI и API отдельно (фильтр Инструмент), а дедупликация и авторезолв затрагивают только дефекты этого инструмента, а не все загрузки того же формата в ветке (подробнее).

В конфиге в ids перечисляют идентификаторы как в отчёте — значения должны совпадать на каждой загрузке.

Поддерживаемые ключи верхнего уровня в JSON: SARIF, SBOM, GITLAB_SAST, GITLAB_DAST.

Каждый элемент массива описывает сопоставление:

Подробнее о параметрах — в справочнике (custom_sub_parsers.enabled, custom_sub_parsers.config_json).

Пример: SARIF

Допустим, сканер выгружает результаты в SARIF. В отчёте в секции runs → tool → driver указано имя инструмента:

{
    "$schema": "https://json.schemastore.org/sarif-2.1.0.json",
    "version": "2.1.0",
    "runs": [
        {
            "tool": {
                "driver": {
                    "name": "my_vendor_id"
                }
            }
        }
    ]
}

Нас интересует поле runs[].tool.driver.name — по нему Vampy выбирает сабпарсер.

Сформируйте JSON-конфиг:

{
  "SARIF": [
    {
      "type": "SAST",
      "vendor": "My Scanner Vendor",
      "ids": ["my_vendor_id"],
      "displayName": "My Vendor: SARIF"
    }
  ]
}

где:

• my_vendor_id — значение name из SARIF;
• vendor — наименование вендора;
• type — подсказка Vampy о типе сканера (SAST, SCA и т.д.);
• displayName — подпись в фильтре Инструмент.

Пример: GitLab SAST

В отчёте GitLab SAST идентификатор сканера находится в scan.scanner.id:

{
    "scan": {
        "scanner": {
            "id": "gitlab-semgrep",
            "name": "Semgrep"
        }
    }
}

Добавьте (или дополните существующий) конфиг:

{
  "GITLAB_SAST": [
    {
      "type": "SAST",
      "vendor": "Corporative Gitlab Semgrep",
      "ids": ["gitlab-semgrep"]
    }
  ]
}

В ids укажите значение scan.scanner.id из отчёта (в примере — gitlab-semgrep). Отчёт загружайте с типом GitLab SAST, не как отдельный произвольный формат.

Пример: SBOM

В CycloneDX идентификатор инструмента берётся из metadata.tools[].name. Vampy использует первое совпадение и нормализует id: первое слово до пробела, в нижнем регистре (например, Dependency-Track → dependency-track).

{
  "bomFormat": "CycloneDX",
  "metadata": {
    "tools": [
      {
        "vendor": "OWASP",
        "name": "Dependency-Track",
        "version": "4.11.5"
      }
    ]
  }
}

Конфиг:

{
  "SBOM": [
    {
      "type": "SCA",
      "vendor": "Corporate Dependency Track",
      "ids": ["dependency-track"]
    }
  ]
}

Загружайте отчёт как SBOM. Если в name есть суффикс после пробела (Codescoring (https://...)), в ids укажите только первую часть — codescoring.

Включение и применение конфигурации

Помимо JSON нужно включить работу с пользовательскими сабпарсерами.

{"SARIF":[{"type":"SAST","vendor":"Vendor A","ids":["id_a"]},{"type":"SAST","vendor":"Vendor B","ids":["id_b"]}]}

Docker (config/user.ini):

v.common_config.parsing.custom_sub_parsers.enabled = on
v.common_config.parsing.custom_sub_parsers.config_json = {"SARIF":[{"type":"SAST","vendor":"My Scanner Vendor","ids":["my_vendor_id"],"displayName":"My Vendor: SARIF"}]}

Kubernetes (values.yaml):

commonConfig:
  parsing:
    customSubParsersEnabled: "on"
    customSubParsersConfigJson: '{"SARIF":[{"type":"SAST","vendor":"My Scanner Vendor","ids":["my_vendor_id"],"displayName":"My Vendor: SARIF"}]}'

После изменения примените конфигурацию: в Docker — /opt/hw-vmp/bin/reconfig (после правки config/user.ini), в Kubernetes — helm upgrade с тем же release и обновлённым values.yaml.

Проверка

1. В расширенных фильтрах списка дефектов в блоке Инструмент должен появиться новый сканер (например, My Vendor: SARIF).
2. Загрузите отчёт как обычный базовый формат: для примера выше — Sarif, для GitLab — GitLab SAST.
3. В списке дефектов и в карточке дефекта в поле Инструмент отображается ваш сканер (slug вида SARIF_MY_SCANNER_VENDOR), а не только общий тип отчёта.