АВТОМАТИЗОВАНЕ СТВОРЕННЯ BASELINE-ЗВІТІВ ТА ЗНИЖЕННЯ ШУМУ У CI/CDСЕРЕДОВИЩАХ ЗАСОБАМИ УНІВЕРСАЛЬНИХ СКАНЕРІВ БЕЗПЕКИ

DOI: 10.31673/2412-4338.2025.038706

Анотація

У статті розглядається актуальна проблема надмірної кількості помилкових спрацювань (false positives), які виникають під час статичного аналізу вразливостей у процесах безперервної інтеграції та доставки (CI/CD). При кожному повторному скануванні контейнерного образу система безпеки повторно виявляє раніше зафіксовані або неактуальні вразливості, що створює суттєвий шум інформації, перевантажує інженерів з безпеки та уповільнює реагування на справжні ризики. Для вирішення цієї проблеми запропоновано метод збереження так званого "еталонного" або початкового звіту про вразливості, який формується після першого сканування контейнера. Надалі результати нових сканувань автоматично порівнюються з цим базовим звітом, і система визначає лише ті вразливості, які з’явилися після змін у програмному коді чи оновлень компонентів. Такий підхід дозволяє ефективно відсікати повторювану або стабільно присутню інформацію, яка не потребує негайного реагування. Реалізація цього підходу здійснена у середовищі GitHub Actions як частина автоматизованого процесу забезпечення безпеки. Вона охоплює побудову контейнерного образу, створення або оновлення базового звіту, запуск порівняльного аналізу та формування підсумкових звітів для розробників. У практичних умовах ця методика дозволила значно зменшити кількість неінформативних повідомлень про вразливості без втрати справжньої цінності сканування, що сприяє підвищенню продуктивності команд і якості контролю безпеки. Запропонований підхід є універсальним і може бути адаптований для інших систем управління CI/CD, а також інтегрований з альтернативними інструментами аналізу безпеки. Він забезпечує більш чистий, цілеспрямований потік інформації в рамках DevSecOps-практик, мінімізуючи навантаження на спеціалістів і покращуючи точність прийняття рішень.

Ключові слова: DevSecOps, CI/CD, вразливості, сканери, Trivy, baseline, шум, автоматизація, GitHub Action.