Informazioni su DefectDojo

DefectDojo, Inc. e i contributori open-source mantengono questa documentazione per supportare sia l’edizione Community che l’edizione Pro di DefectDojo.

Cos’è DefectDojo?#

DefectDojo è una piattaforma di Developer Security Operations (DevSecOps). DefectDojo semplifica le attività DevSecOps fungendo da aggregatore automatico per la tua suite di strumenti di sicurezza, permettendoti di organizzare facilmente il tuo lavoro di sicurezza e di comunicare la postura di sicurezza della tua organizzazione ad altri stakeholder.

Sebbene l’automazione dei processi di sicurezza e le pipeline di sviluppo integrate siano gli obiettivi finali di DefectDojo, alla base questo software è un bug tracker per le vulnerabilità di sicurezza, pensato per acquisire, organizzare e standardizzare i report provenienti da molti strumenti di sicurezza.

Cosa fa DefectDojo?#

DefectDojo dispone di funzionalità intelligenti per migliorare e ottimizzare i risultati dei tuoi strumenti di sicurezza, tra cui la possibilità di:

• Tracciare e generare report sui Riscontri di sicurezza nel loro contesto
• Applicare SLA nel contesto appropriato
• Gestire Falsi positivi, Rischi accettati e altre decisioni di triage
• Distillare i duplicati utilizzando l’algoritmo di deduplicazione di DefectDojo
• Integrarsi con software esterni di Project Tracking.
• Fornire metriche/report tra repository e branch di sviluppo tramite integrazione CI/CD.
• Coordinare la gestione tradizionale dei Pen test.
• Impostare e applicare SLA per le procedure di remediation delle vulnerabilità.
• Creare e tracciare Accettazioni del rischio per le vulnerabilità di sicurezza.

In definitiva, il modello Prodotto:Engagement di DefectDojo ti consente di inventariare il tuo ambiente di sviluppo e collocare immediatamente i nuovi Riscontri di sicurezza nel loro contesto.

Ecco alcuni esempi di come DefectDojo può essere implementato, con il co-fondatore e CTO di DefectDojo Matt Tesauro:

DefectDojo Open-Source#

Le funzionalità principali di DefectDojo sono disponibili in DefectDojo Open-Source.

Questa edizione di DefectDojo include:

• Import/Reimport per tutti gli oltre 500 strumenti supportati
• API REST
• Funzionalità di deduplicazione
• Funzionalità limitate di UI, metriche e reportistica
• Capacità di integrazione con Jira

Per i team che gestiscono un volume di Riscontri più contenuto, DefectDojo Open-Source è un ottimo punto di partenza.

Guide all’installazione#

Esistono alcuni metodi supportati per installare l’edizione Open-Source di DefectDojo (disponibile su Github):

Docker Compose è il metodo più semplice per installare il programma principale e i servizi necessari per eseguire DefectDojo. La nostra guida Architettura offre una panoramica di ciascun servizio e componente utilizzato da DefectDojo. Esecuzione in produzione elenca i requisiti di sistema, gli aggiustamenti delle prestazioni e i processi di manutenzione per eseguire DefectDojo su un server di produzione (con Docker Compose).

Kubernetes non è pienamente supportato a livello Open-Source, ma questa guida può essere consultata e utilizzata come punto di partenza per integrare DefectDojo in un’architettura Kubernetes.

Se riscontri problemi con un’installazione Open-Source, ti consigliamo vivamente di porre domande sulla OWASP Slack. I membri della nostra community sono attivi sul canale #defectdojo e possono aiutarti con i problemi che stai affrontando.

🟧 Edizione DefectDojo Pro#

DefectDojo, Inc. ospita un’edizione Pro di questo software per scopi commerciali. Oltre a un’interfaccia moderna ed elegante, DefectDojo Pro include:

• Connettori: integrazioni API pronte all’uso con scanner di livello enterprise (come Checkmarx One, BurpSuite, Semgrep e altri)
• Metodi di importazione configurabili: Universal Parser, Smart Upload
• Strumenti CLI per un’integrazione rapida con i tuoi sistemi
• Integrazioni aggiuntive di Project Tracking: ServiceNow, Azure DevOps, GitHub e GitLab
• Metriche migliorate per la reportistica esecutiva e l’analisi di alto livello
• Priorità e rischio per identificare i Riscontri di maggiore urgenza, a livello di sistema
• Supporto Premium e assistenza all’implementazione per la tua organizzazione

L’edizione Pro è disponibile come offerta SaaS ospitata nel cloud, ed è disponibile anche per l’installazione on-premises.

Per maggiori informazioni su DefectDojo Pro, consulta la nostra pagina Prezzi.

Demo online#

Sono disponibili demo online sia per la versione Open-Source che per quella Pro di DefectDojo. Entrambe sono accessibili con le seguenti credenziali:

• Nome utente: admin
• Password: 1Defectdojo@demo#appsec

Queste demo sono precaricate con dati di esempio e vengono ripristinate quotidianamente.

Demo Open-Source#

Un esempio funzionante di DefectDojo (edizione Open-Source) è disponibile su https://demo.defectdojo.org/.

Demo Pro#

Un esempio funzionante di DefectDojo Pro è disponibile su https://pro.demo.defectdojo.com/.

Imparare a usare DefectDojo#

Che tu sia un utente Pro o Open-Source, disponiamo di molte risorse per aiutarti a iniziare con DefectDojo.

• Consulta le nostre integrazioni con strumenti di sicurezza supportati per adattare DefectDojo al tuo programma DevSecOps.
• Il nostro team gestisce un canale YouTube che ospita tutorial, eventi Office Hours archiviati e altri contenuti.

Contattaci#

Per metterti in contatto con il team di DefectDojo, Inc., puoi sempre scrivere a .

Siamo regolarmente presenti su LinkedIn e organizziamo anche presentazioni online per i professionisti AppSec, accessibili in diretta o on demand. Puoi scoprire i prossimi eventi sulla nostra pagina Eventi oppure guardare le presentazioni passate sul nostro canale YouTube.

Adesivi#

Cerchi dei fantastici adesivi DefectDojo per il tuo laptop? Come ringraziamento per far parte della community DefectDojo, puoi iscriverti per ricevere alcuni adesivi DefectDojo gratuiti. Per maggiori informazioni, consulta questo link.