Prisma Cloud Compute: comprensión de los resultados del análisis de Twistcli para funciones Lambda en pipelines de CI
3813
Created On 04/22/24 04:23 AM - Last Modified 12/27/24 08:29 AM
Question
- ¿Por qué el escaneo sin servidor Twistcli utilizado en la fase CI para escanear las funciones lambda no muestra ninguna vulnerabilidad en los resultados del escaneo, aunque estos se muestran como " aprobados "?
Por ejemplo:
La captura de pantalla a continuación muestra el archivo de función Lambda escaneado con éxito en la canalización de CI, sin embargo, las vulnerabilidades muestran '0'
La captura de pantalla a continuación muestra el archivo de función Lambda escaneado con éxito en la canalización de CI, sin embargo, las vulnerabilidades muestran '0'
Mientras que el mismo archivo escaneado durante el tiempo de ejecución muestra vulnerabilidades en los resultados del escaneo
Environment
- Prisma Cloud y Computación
- AWS Lambda
- Análisis de CI de funciones sin servidor
Answer
- Este es un comportamiento esperado. El motivo por el que no se muestran las vulnerabilidades cuando se escanea una función Lambda durante la fase de CI es porque una función AWS Lambda extrae todas las dependencias cuando se activa y no hay dependencias presentes durante la fase de CI, por lo que las vulnerabilidades se muestran como " 0 ".
- Esto también explica el comportamiento de las vulnerabilidades que se muestran cuando se escanea la misma función en tiempo de ejecución donde están presentes las dependencias de la función Lambda.