Lire un constat

Un constat relie une règle à une ressource : telle règle est en défaut sur telle ressource, avec une sévérité, un état et une correction proposée. Cette page décrit comment le lire, le filtrer, l’ignorer avec un motif, et comment il se ferme de lui-même quand la ressource n’est plus en défaut.

La liste des constats

La page « Détections » liste tous les constats de l’instance, toutes familles confondues, dans le périmètre choisi dans l’en-tête (projets, dossiers). Chaque ligne porte cinq colonnes : « Sévérité », « Type », « Détection », « Ressource » et « Statut ».

Colonne	Contenu
« Sévérité »	CRITICAL, HIGH, MEDIUM ou LOW. La liste se trie par sévérité.
« Type »	La famille : CSPM, AI-SPM, « Vulnérabilité », « Secret », KSPM, HCR, DSPM ou IaC.
« Détection »	Le titre du constat : le nom de la règle, ou l’identifiant CVE pour une vulnérabilité.
« Ressource »	Le nom de la ressource concernée, ou son identifiant à défaut.
« Statut »	OPEN, INVESTIGATING, IGNORED, ACCEPTED, RESOLVED ou FIXED.

L’en-tête compte les lignes affichées et, quand un filtre est actif, le total (« sur {total} »). « Exporter en CSV » écrit toutes les lignes filtrées, pas seulement la page affichée. La pagination se lit « Page {page} sur {pages} », avec « Précédent » et « Suivant ».

Tant qu’aucun compte cloud n’est connecté, la page affiche « Aucun compte cloud connecté » et un bouton « Connecter un compte cloud ». Pendant un scan, elle affiche « Scan en cours » avec la phase. Sans constat, elle distingue « Aucun scan n’a encore tourné. Lancez-en un pour remplir cette page. » de « Le dernier scan n’a rien trouvé à signaler ici. »

Filtres et recherche

La barre de filtres propose « Sévérité », « Type » et « Statut » ; les valeurs de statut proposées sont celles présentes dans les données. Le champ « Rechercher par titre, ressource, CVE... » filtre sur ces trois champs. Un regroupement par sévérité, type, statut ou ressource replie la liste en groupes qui affichent « Règles distinctes » et « Ressources concernées ».

Les filtres, la recherche et le regroupement vivent dans l’adresse de la page : une adresse copiée reproduit la même vue. Le périmètre choisi dans l’en-tête (projets, dépôts) n’est pas un filtre de ligne ; il borne les résultats et survit à « Effacer les filtres ».

Le panneau de détail

Un clic sur une ligne ouvre le panneau de détail à droite. Il s’empile : depuis un constat, vous pouvez ouvrir sa ressource, puis un autre constat de cette ressource, et revenir en arrière par le fil d’Ariane. La touche Échap, le bouton « Fermer » ou un clic hors du panneau le ferment.

Sous le titre et la ressource, les personnes autorisées à modifier les constats voient les actions : « Ignorer » sur un constat ouvert, « Rouvrir » sur un constat ignoré ou accepté, et « Créer un ticket » quand une intégration de tickets est configurée. Un constat « Résolu » ou « Corrigé » n’offre ni l’un ni l’autre : c’est le verdict du scanner, que le scan suivant réexamine.

Les onglets dépendent de la famille :

Famille	Onglets
Configuration cloud, IaC, hôtes, Kubernetes	« Vue d’ensemble », « Remédiation », « Historique »
Vulnérabilité, données	« Vue d’ensemble », « Historique »
Secret	« Vue d’ensemble », « Rotation », « Historique »
Combinaison toxique	« Vue d’ensemble », « Chemin d’attaque », « Remédiation », « Historique »

« Vue d’ensemble » affiche la sévérité, le « Statut », la date « Détecté le », les techniques MITRE ATT&CK et les CWE que la règle référence, les « Référentiels » de conformité couverts, puis « Pourquoi c’est important », « Remédiation » et « Références » tels que la règle les décrit, et enfin la « Ressource concernée ». Le statut se lit « Ouvert », « En investigation », « Résolu », « Corrigé », « Ignoré », « Accepté », « Révocation requise » ou « Supprimé ».

Le score de risque

Le « Score de risque », sur 100, apparaît pour les vulnérabilités, les secrets et les combinaisons toxiques, avec son détail au clic.

Famille	Composition
Vulnérabilité	Le score CVSS ramené sur 35 points, 25 points si la CVE figure au catalogue CISA KEV, 10 points si la ressource est exposée à Internet.
Secret	Une base selon la sévérité (critique 80, élevée 60, moyenne 40, faible 20), pondérée par la validité (actif 1, inconnu 0,75, inactif 0,15), plus 10 points si la ressource est exposée et 10 points au-delà de 90 jours d’exposition.
Combinaison toxique	La même base selon la sévérité, plus 5 points par saut du chemin (15 au plus) et 2 points par ressource (10 au plus), plafonné à 100.

L’historique

L’onglet « Historique » déroule la vie du constat : « Détecté » (première observation), « Vu pour la dernière fois » (dernier scan qui l’a revu), « Résolu », puis chaque décision avec son auteur : « Ignoré par {actor} » suivi de « Expire le {date} » ou « Permanent », « Rouvert par {actor} », « Résolu par {actor} », ou « Ignoré par le .ctadel.yaml du dépôt » pour un constat IaC couvert par le fichier du dépôt. L’auteur system désigne une décision automatique. Les commentaires de l’équipe s’ajoutent au même fil avec « Ajouter un commentaire... » et « Publier ».

Ignorer un constat

1. Ouvrez le constat et cliquez sur « Ignorer ».
2. Dans « Ignorer le constat », choisissez une « Catégorie » : « Faux positif », « Exception » ou « Autre ».
3. Écrivez le « Motif ». Il est obligatoire.
4. Choisissez quand l’ignorance « Expire » : « 7 jours », « 30 jours », « 90 jours », « 6 mois », « 1 an », une date dans le calendrier, ou « Permanent ». Le bouton reste inactif tant que la catégorie, le motif et l’échéance ne sont pas renseignés.

Le constat passe en « Ignoré ». Le motif, précédé de la catégorie, l’échéance (fin de journée UTC) et votre adresse sont enregistrés sur le constat et dans son historique. À l’échéance, l’ignorance tombe d’elle-même : le constat est rouvert dans l’heure, ou au scan complet suivant, avec « Rouvert par system » dans l’historique. « Rouvrir » fait la même chose à la main, en gardant la trace de l’ignorance d’origine.

Un constat ignoré n’est pas supprimé : il reste dans la liste avec le statut IGNORED et compte dans les filtres.

Fermeture automatique

Un constat se ferme sans intervention quand un scan ne le rapporte plus : la ressource a été corrigée, ou elle n’existe plus. Il passe en « Résolu », la date de résolution est posée et l’historique reçoit « Résolu par system ».

• Pour la configuration cloud, chaque évaluation ferme les constats ouverts que les règles n’ont plus rapportés, ainsi que ceux des règles désactivées. Une règle qui n’a pas pu être évaluée ne ferme rien : ses constats restent tels quels.
• Pour les clusters, les hôtes, les données et les dépôts, la fermeture se fait ressource par ressource à la fin de chaque scan de cette ressource.
• Pour l’IaC, une pull request fermée sans fusion ferme aussitôt les constats qu’elle avait introduits.

Un constat résolu que le scan suivant rapporte à nouveau est rouvert (« Rouvert par system ») et notifié comme nouveau.

Les constats fermés sont purgés après la « Période de rétention », 90 jours par défaut, comptés depuis leur résolution ou, à défaut, leur dernière observation. Les constats ouverts et ignorés ne sont jamais purgés.

Limites

• L’interface ne pose que deux décisions, « Ignorer » et « Rouvrir ». Les autres états (« En investigation », « Accepté », « Révocation requise ») viennent des scanners ou d’autres parcours de l’application, pas de la liste des constats.
• L’ignorance se fait constat par constat : la liste n’offre pas de sélection multiple.
• L’interface ne propose pas de règles d’ignorance à l’échelle du compte (par famille, sévérité, règles ou projets).
• La catégorie choisie dans le dialogue d’ignorance est enregistrée en anglais devant le motif ([False Positive], [Exception], [Other]), quelle que soit la langue de l’interface.
• La liste n’affiche ni les dates ni le score de risque ; ils sont dans le panneau.
• Les constats de détection d’événements (CDR) n’apparaissent que pour les comptes internes de validation, non pour les clients.
• Les commentaires sont du texte brut, sans mention ni pièce jointe.