Add Root Cause Analysis to OSPS-VM-04

Aperta
  • Qualcosa non va?
#243 8 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
3/5
Tempo stimato
1-2 giorni
Idoneità per principianti
48/100
Tipo di issue
Funzionalità
Chiarezza
Abbastanza chiara
Stato di attività
Tranquilla
Stack tecnologico
yaml
Ambito
security

Direzione di ricerca

Inizia con baseline/OSPS-VM.yaml ed esamina OSPS-VM-04.01 e i controlli circostanti. Esamina le mappature proposte di NIST SSDF RV.3 e CRA §14 4.c.ii, quindi determina se l’analisi della causa principale debba appartenere a OSPS-VM-04.01 o a una nuova sottosezione. Il lavoro è completo quando il requisito e le mappature sono aggiornati in modo coerente nel YAML di riferimento.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

criteria enhancement help wanted

Changes

I would like to include the requirements for a root cause analysis (either level 2 or 3) in OSPS-VM-04 (either add to OSPS-VM-04.01 or create a new subsection).

For every vulnerability, the maintainers of a project should analyze why things went wrong to avoid repeating mistakes and also to make sure no similar vulnerabilities are in the project.

External Framework Mappings

  • NIST SSDF - RV.3
  • CRA §14 - 4.c.ii

Something like this could work:

diff --git a/baseline/OSPS-VM.yaml b/baseline/OSPS-VM.yaml
index 8445507..1e3f3ac 100644
--- a/baseline/OSPS-VM.yaml
+++ b/baseline/OSPS-VM.yaml
@@ -165,11 +165,13 @@ controls:
           - 2.1
           - 2.4
           - 2.6
+          - 4.c.2
       - reference-id: SSDF
         identifiers:
           - PO4.1
           - RV2.1
           - RV2.2
+          - RV.3
       - reference-id: CSF
         identifiers:
           - ID.RA-01
@@ -188,8 +190,8 @@ controls:
           Provide information about known vulnerabilities in a predictable
           public channel, such as a CVE entry, blog post, or other medium.
           To the degree possible, this information should include affected
-          version(s), how a consumer can determine if they are vulnerable, and
-          instructions for mitigation or remediation.
+          version(s), how a consumer can determine if they are vulnerable, a
+          root cause analysis and instructions for mitigation or remediation.
       - id: OSPS-VM-04.02
         text: |
           While active, any vulnerabilities in the
Lingua principale
Go
Stelle
171
Fork
45
Merge medio
1g 16h
PR unite (30g)
7

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di ossf/security-baseline

Tutte le issue di ossf/security-baseline

Issue simili

Altre issue su Go

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.