Saltar para o conteúdo principal

​
Visão Geral

O ZeroPath se integra ao Jira Cloud para enviar descobertas de segurança como issues do Jira e sincronizar mudanças de status de volta. Quando uma issue do Jira é resolvida, a descoberta correspondente no ZeroPath é automaticamente marcada como resolvida.

​
Configuração

1

Navegue até Integrations

Acesse Settings → Integrations no painel do ZeroPath.
2

Conecte o Jira

Clique em “Connect Jira” e autorize o ZeroPath na tela de consentimento da Atlassian.
3

Configuração Automática

O ZeroPath detecta automaticamente sua instância do Jira Cloud e o projeto padrão.
Ambos os métodos registram um webhook na sua instância do Jira para a sincronização bidirecional. Conexões OAuth usam a API de webhooks dinâmicos, que se inscreve automaticamente em todos os eventos suportados. Conexões com token de API usam a API legada de webhooks de administrador do Jira, que também registra o webhook automaticamente quando o usuário do Jira é administrador do site. Se o registro automático não for possível (por exemplo, porque o usuário não é administrador do Jira), o fluxo de configuração retorna a URL e o segredo do webhook para que você possa criá-lo manualmente nas configurações de administração do Jira.

​
Eventos de Webhook

O webhook do ZeroPath usa os seguintes eventos do Jira: Os eventos de comentário são opcionais, mas recomendados. Quando habilitados, o ZeroPath usa os comentários do ticket para classificar de forma inteligente tickets fechados como Resolved, False Positive ou Accepted Risk, em vez de sempre usar Resolved como padrão.

​
Exportação Manual de Issues

A partir de qualquer descoberta no painel do ZeroPath:
  1. Clique em “Export to Jira” na visualização de detalhes da issue.
  2. Selecione um projeto do Jira, um tipo de issue (Bug, Story, Task etc.) e, opcionalmente, um epic e um responsável. Epics estão disponíveis para todos os tipos de issue, não apenas para Tasks.
  3. O ZeroPath cria a issue do Jira com todos os detalhes da vulnerabilidade — título, descrição, arquivo afetado, severidade, pontuação CVSS, CWEs, trecho de código e link do patch, se disponível. Para descobertas de secrets, o trecho de código é automaticamente redigido para que valores de segredos em texto claro nunca sejam gravados em tickets do Jira.
Se o tipo de issue selecionado não suportar um vínculo com item pai (por exemplo, Epics não podem ter pai na hierarquia do Jira), o ZeroPath automaticamente tenta novamente sem o vínculo com o epic, de modo que a issue ainda seja criada com sucesso. A chave da issue do Jira fica vinculada à descoberta no ZeroPath para rastreamento bidirecional.

​
Exportação em Massa

Você pode exportar várias descobertas para o Jira de uma só vez:
  1. Selecione as descobertas que deseja exportar na lista de issues.
  2. Escolha “Export to Jira” no menu de ações em massa.
  3. Selecione um projeto do Jira, um tipo de issue e, opcionalmente, um epic e um responsável. Você pode selecionar “None” para limpar explicitamente a seleção de epic.
  4. Se um template do Jira estiver configurado, você pode ativar “Use Jira Template” para aplicá-lo a todas as issues exportadas.
  5. O ZeroPath cria issues do Jira para todas as descobertas selecionadas em lotes. Trechos de código de descobertas de secrets são automaticamente redigidos em todos os tickets criados.
Descobertas que já foram exportadas para o Jira são automaticamente ignoradas. Após a conclusão da exportação, você verá um resumo mostrando quantas issues foram exportadas, ignoradas ou falharam.

​
Criação Automática de Tickets

Configure a criação automática de issues para novas descobertas:
  1. Acesse Settings → Integrations, selecione Jira na barra lateral e abra Auto-Ticketing.
  2. Defina um limite de pontuação — apenas descobertas acima dessa pontuação criam tickets no Jira.
  3. Escolha quais tipos de scan disparam tickets (Full Scan, PR Scan, SCA etc.).
  4. Selecione o projeto do Jira e o tipo de issue.
  5. Opcionalmente, selecione um epic para agrupar os tickets criados automaticamente. Se um epic configurado anteriormente não estiver mais disponível no Jira, um aviso é exibido para que você selecione um novo ou limpe a seleção.
  6. Opcionalmente, configure atribuição automática, templates personalizados e escopo (todos os repositórios, repositórios específicos ou repositórios que correspondam a tags específicas).
Trechos de código de descobertas de secrets são automaticamente redigidos em todos os tickets criados automaticamente, de modo que valores de segredos em texto claro nunca sejam gravados no Jira.

​
Datas de Vencimento por SLA

Habilite Set due date from SLA para marcar cada ticket criado com o prazo de remediação da descoberta como a data de vencimento do Jira — a data de violação mais próxima entre todas as políticas de SLA que cobrem a issue. Isso se aplica tanto a tickets criados automaticamente quanto a tickets exportados manualmente. Se nenhuma política de SLA cobrir a descoberta, nenhuma data de vencimento é definida.
A data de vencimento exige que o tipo de issue selecionado exponha um campo Due date em sua tela de criação. Se não expuser, o ZeroPath avisa você ao salvar a configuração e ainda assim cria os tickets (sem data de vencimento). Se o Jira posteriormente rejeitar a data de vencimento de um ticket individual, o ZeroPath tenta novamente sem ela, de modo que o ticket ainda seja criado.

​
Templates Personalizados

A criação automática de tickets suporta templates personalizáveis de título e descrição com variáveis:
  • {{severity}}, {{issueTitle}}, {{repositoryName}}, {{affectedFile}}, {{vulnClass}}, entre outras.
  • Campos personalizados do Jira podem ser mapeados para dados da descoberta no ZeroPath ou para valores estáticos.

​
Sincronização Bidirecional

Quando o status de uma issue do Jira muda para Done, Resolved, Closed ou Completed, o ZeroPath automaticamente:
  • Analisa os comentários do ticket para determinar o status apropriado — Resolved, False Positive ou Accepted Risk
  • Se não houver comentários ou os eventos de comentário não estiverem habilitados, a descoberta assume Resolved como padrão
  • Se houver comentários, mas a intenção não puder ser determinada com confiança, a mudança de status é ignorada em vez de assumir Resolved como padrão, evitando uma triagem incorreta
  • Registra quem fez a mudança e quando
  • Registra a transição de estado na trilha de auditoria da descoberta
O ZeroPath seleciona a transição de workflow correta do Jira com base no status de destino. Ao marcar uma descoberta como Resolved, o ZeroPath escolhe uma transição de conclusão (como “Done”) e evita transições de cancelamento como “Won’t Do”. Ao marcar uma descoberta como False Positive ou Accepted Risk, o ZeroPath prefere uma transição de cancelamento, se houver uma disponível. Isso garante que os estados do workflow do Jira reflitam com precisão a decisão de triagem. Quando você muda o status de várias descobertas de uma vez (por exemplo, marcando muitas issues como falso positivo), o ZeroPath sincroniza cada atualização com o Jira com concorrência controlada para respeitar os limites de taxa do Jira Cloud. Se a atualização de um ticket individual falhar, as demais atualizações continuam — falhas parciais são registradas sem bloquear a ação em massa. Essa sincronização é alimentada por um webhook registrado na sua instância do Jira durante a configuração.
Webhooks do Jira Cloud criados pela API dinâmica (usada por conexões OAuth) expiram após 30 dias. O ZeroPath os renova automaticamente, mas se a sincronização parar de funcionar, reconecte a integração em Settings → Integrations para atualizar o webhook. Webhooks criados pela API legada de administrador (usada por conexões com token de API quando o usuário é administrador do site Jira) não expiram. Quando você reconecta, o ZeroPath remove automaticamente quaisquer webhooks obsoletos com segredos desatualizados antes de criar um novo.

​
Acesso ao Confluence

A integração com o Jira também fornece acesso ao Confluence, já que ambos os produtos compartilham o mesmo token OAuth da Atlassian. Quando o Confluence está habilitado, o AI AppSec Assistant pode pesquisar e ler suas páginas do Confluence em busca de documentação de segurança, contexto de arquitetura e runbooks.

​
Habilitando o Confluence

  1. Conecte o Jira usando o método OAuth ou o de token de API descritos acima.
  2. Depois que o Jira estiver conectado, uma opção Confluence aparece na página de integrações. Você pode habilitá-la diretamente no diálogo Add Integration com um único clique — nenhuma autenticação adicional é necessária.
  3. Como alternativa, selecione Confluence na barra lateral de integrações e ative o botão Confluence Access.
Nenhuma autenticação adicional é necessária — o Confluence reutiliza seu token OAuth da Atlassian existente.

​
Desabilitando o Confluence

Para desabilitar o acesso ao Confluence, selecione Confluence na barra lateral de integrações e desative o botão Confluence Access. Isso não afeta sua integração com o Jira.

​
Templates de PR de Auto-Fix

Quando uma descoberta tem um ticket do Jira vinculado, os templates de auto-fix do ZeroPath podem referenciar o ticket. Você pode usar os placeholders {jira_id}, {jira_title} e {jira_url} nos templates de título do PR, descrição do PR, nome da branch e mensagem de commit para incluir os detalhes do ticket do Jira vinculado nos PRs de patch gerados. Consulte Referências a Tickets do Jira em Templates para mais detalhes.

​
Solução de Problemas

Verifique se a integração está conectada em Settings → Integrations.
Para conexões OAuth, verifique se o webhook do Jira expirou (limite de 30 dias) e reconecte a integração para atualizá-lo. Para conexões com token de API, verifique se o webhook foi registrado automaticamente (a resposta da configuração indica isso) ou crie-o manualmente na administração do Jira. Verifique também se a chave da issue do Jira corresponde a uma descoberta no ZeroPath (o vínculo é criado durante a exportação).
Verifique se o projeto e o tipo de issue selecionados existem na sua instância do Jira. Certifique-se de que os campos obrigatórios do Jira estejam configurados nas configurações de criação automática de tickets.