Deduplicación y huellas de hallazgo

Para saber si un hallazgo de hoy es el mismo de ayer hace falta algo que lo identifique. La primera idea es usar archivo y número de línea, y es la peor: cualquiera que añada tres líneas de comentario encima desplaza todos los hallazgos de ese archivo, y el tablero cree que desaparecieron seis y aparecieron seis.

Por eso SARIF tiene partialFingerprints: una huella que la herramienta calcula con lo que rodea al hallazgo (por ejemplo, el contenido de la línea y su contexto) y no con el número. «Parcial» porque la huella se calcula con un algoritmo concreto, cuyo nombre y versión van en la clave (algo como nombre/v1); dos algoritmos distintos dan huellas que no se pueden comparar entre sí.

Abre los escaneos del analizador A del lunes y del martes, y el archivo con los cambios que se fusionaron entre ambos. El hallazgo de pedidos/reportes.py cambió de línea. Si la huella lo identifica bien, el hallazgo del martes es el mismo del lunes.

Con la huella como identidad, comparar dos escaneos es un ejercicio de conjuntos: las huellas que están hoy y no estaban ayer son hallazgos nuevos; las que estaban y ya no están son candidatas a cerradas; las que están en los dos siguen abiertas.

Compara solo el analizador A del lunes con el del martes.

La huella de una herramienta no se compara con la de otra: cada una la calcula a su manera. Para saber si dos herramientas hablan del mismo hallazgo hace falta una clave común, que cada organización define. La de Uvilla está en el archivo de cobertura: el mismo CWE, el mismo archivo y la misma función.

El analizador B, que trabaja por patrones, también escaneó el repositorio el martes. Aplica la regla de la empresa a los seis resultados del martes (los tres de A y los tres de B) y cuenta cuántos hallazgos distintos quedan.

El hallazgo de pedidos/auditoria.py estaba el lunes y no está el martes. Eso puede significar dos cosas: que se corrigió, o que el escáner no miró el archivo. La diferencia está en la cobertura del escaneo, y es lo primero que se comprueba antes de cerrar nada. En SARIF, el estado de un resultado frente a una línea base se llama baselineState (valores new, unchanged, updated, absent), y absent solo significa «no apareció», no «se arregló».