Ihr erster Scan
Voraussetzungen: Sie sind als Admin-Benutzer angemeldet, der Test der Jira-Verbindung ist erfolgreich, und eine gültige Lizenz ist installiert.
Scannen Sie zuerst ein oder zwei Projekte, nicht alles. So lernen Sie, wie viel Rauschen die Regeln bei Ihren eigenen Inhalten erzeugen und wie stark der Scan Jira belastet, bevor Sie einen Lauf starten, der Stunden dauert.
1. Scan-Konfiguration anlegen
Unter Administration -> Scan-Konfiguration:
- Benennen Sie die Konfiguration.
- Wählen Sie alle zugänglichen Projekte oder geben Sie konkrete Projektschlüssel an.
- Wählen Sie eingeschlossene und ausgeschlossene Felder, ob Kommentare berücksichtigt werden, und ob gerenderter Text, Rohfeldwerte oder beides gescannt wird (beides ist der Standard).
- Lassen Sie Anhangsinhalte scannen beim ersten Lauf ausgeschaltet - das
ist der teuerste Teil eines Scans. Schalten Sie es ein, sobald die
Grundlagen laufen; es erfordert das Lizenzmerkmal
SCAN_ATTACHMENTS, siehe Lizenz. - Passen Sie optional die Einstellungen der Scan-Engine an - Worker-Anzahl, Durchsatzgrenze, Batch-Grösse, Wiederholversuche und Backoff. Die konservativen Standardwerte sind für einen ersten Lauf gut geeignet. Siehe Scans.
- Drücken Sie Scope-Vorschau - geschätzte Projekte, Issues und Laufzeit - und speichern Sie dann mit Als neue Version speichern. Scan-Konfigurationen sind unveränderliche Snapshots; ein Lauf referenziert immer die exakte Version, mit der er lief.
2. Scan starten
Starten Sie unter Scans einen rein lesenden vollständigen Scan aus Ihrer
gespeicherten Konfiguration. Die Scan-Seite zeigt Status (QUEUED, RUNNING,
PAUSED, COMPLETED, FAILED, CANCELLED), gescannte und übersprungene
Issues, Fundanzahl, verstrichene und geschätzte verbleibende Zeit sowie den
Durchsatz. Lange Scans können jederzeit pausiert, fortgesetzt oder abgebrochen
werden; ein fehlgeschlagener Scan setzt am letzten Checkpoint auf, statt neu zu
starten.
3. Ergebnisse prüfen
Öffnen Sie das Risiko-Dashboard für die Zusammenfassung und arbeiten Sie dann die Funde durch: filtern, Fundstelle und Regel jedes Fundes lesen und Funde als False Positive, akzeptiertes Risiko oder behoben einstufen. Die Liste öffnet sich nach Issue gruppiert - genau die richtige Form zum Bereinigen; wechseln Sie in die flache Liste, wenn Sie eine einzelne Regel oder einen Schweregrad abarbeiten wollen.
Rechnen Sie beim ersten Lauf mit False Positives - genau dafür gibt es den Prüfworkflow und die Unterdrückungen. Wenn eine einzelne Regel den grössten Teil des Rauschens erzeugt, deaktivieren Sie sie im Regelkatalog, statt Hunderte Zeilen zu prüfen.
Siehe das Benutzerhandbuch für die einzelnen Seiten und den CSV-Export, um die Ergebnisse herauszubekommen.
4. Daraus Routine machen
Ein einzelner Scan ist eine Momentaufnahme. Zwei Dinge machen daraus einen Prozess: