エンゲージメントとテスト on DefectDojo Documentation

組織

Mon, 01 Jan 0001 00:00:00 +0000

組織 → アセット → エンゲージメント → テスト → 検出事項

概要

組織は、DefectDojoのオブジェクト階層の最上位に位置します。組織は、階層内の下位オブジェクト(アセット、エンゲージメント、テスト、検出事項)とは異なり、技術的なスキャン対象ではなく、主に以下の観点でセキュリティ活動を区分するための組織的な抽象概念として機能します。

ビジネスドメイン
開発チーム
セキュリティチーム
ソフトウェアアプリケーション
包括的な製品ファミリー
顧客または子会社
レポート体制
など

上記の例に共通するテーマは、組織の本質的な役割を示しています。組織は基本的に、セキュリティプログラム内で安定した長期的な境界を表すべきものです。

組織

Mon, 01 Jan 0001 00:00:00 +0000

組織 → アセット → エンゲージメント → テスト → 検出事項

概要

組織は、DefectDojoの製品階層の最上位に位置します。組織は、階層内で下位に位置するオブジェクト—アセット、エンゲージメント、テスト、検出事項—とは異なり、技術的なスキャン対象ではなく、主に以下のような観点でセキュリティ活動を区分けするための組織的な抽象概念として機能します。

事業領域
開発チーム
セキュリティチーム
ソフトウェアアプリケーション
包括的な製品ファミリー
顧客または子会社
レポート体制
など

上記の例に共通するテーマは、組織の本質的な有用性を示しています。すなわち、組織は一般的に、セキュリティプログラム内で安定した長期的な境界を表すべきだということです。

アセット

Mon, 01 Jan 0001 00:00:00 +0000

組織 → アセット → エンゲージメント → テスト → 検出事項

概要

アセットは、DefectDojoのオブジェクト階層においてセキュリティ業務がどのように整理されるかの中心に位置します。アセットは、セキュリティチームがテストしているあらゆるプロジェクト、プログラム、ソフトウェア、または物理的な資産を表し、そのテスト目標に関連するすべてのセキュリティ業務とテスト履歴を保持します。アセットの例には次のようなものがあります。

ソフトウェアリリース
サードパーティ製ソフトウェア
本番環境の仮想マシンまたは資産
単一のアプリケーション
マイクロサービス
API
SaaSプラットフォーム
モバイルアプリ
社内システム
ビジネスサービス
顧客向けプラットフォーム
クラウド環境またはインフラストラクチャドメイン

一般に、アセットはセキュリティ体制を長期的に追跡したい「対象」を表すべきものです。これには、その「対象」に関連するテスト履歴、検出事項、メトリクス、所有権、インテグレーション、修復ワークフローが含まれます。

アセット

Mon, 01 Jan 0001 00:00:00 +0000

組織 → アセット → エンゲージメント → テスト → 検出事項

概要

アセットは、DefectDojoのオブジェクト階層内でセキュリティ業務がどのように編成されるかにおいて、中心的な役割を果たします。アセットは、セキュリティチームがテストを行う対象となるあらゆるプロジェクト、プログラム、ソフトウェア、または物理的な資産を表し、そのテスト目標に関連するすべてのセキュリティ業務とテスト履歴を格納します。アセットの例には、以下のようなものがあります。

ソフトウェアリリース
サードパーティ製ソフトウェア
本番環境の仮想マシンまたは資産
単一のアプリケーション
マイクロサービス
API
SaaSプラットフォーム
モバイルアプリ
内部システム
ビジネスサービス
顧客向けプラットフォーム
クラウド環境またはインフラストラクチャドメイン

一般的に、アセットはセキュリティ体制を継続的に追跡したい対象、つまり「モノ」を表すべきです。これには、その「モノ」に関連するテスト履歴、検出事項、メトリクス、所有権、インテグレーション、修復ワークフローが含まれます。

エンゲージメント

Mon, 01 Jan 0001 00:00:00 +0000

組織 → アセット → エンゲージメント → テスト → 検出事項

概要

DefectDojoの製品階層において、エンゲージメントは特定の製品内で関連するテストをグループ化する、期間またはパイプラインに紐づいたコンテナです。定期的であれ単発であれ、計画されたテスト活動がある場合、エンゲージメントはその関連する結果をすべて格納する場所を提供します。

エンゲージメントの例には、以下のようなものがあります。

単発のペネトレーションテスト
毎月または四半期ごとに実施される定期スキャン
バグバウンティのレビュー期間
CI/CDパイプラインの実行(各パイプラインを個別のエンゲージメントとして扱うチームの場合)
コードリリースサイクル(例:「v4.2リリースのセキュリティレビュー」)

エンゲージメントの種類

DefectDojoは、インタラクティブとCI/CDの2種類のエンゲージメントをサポートしています。これらの種類によって、テストが通常どのように作成され、スキャン結果がどのようにインポートされるかが決まります。

インタラクティブエンゲージメントは、通常エンジニアによって実施されます。インタラクティブエンゲージメントは、自動テスト、人間のテスター、またはアプリケーションの機能と「対話」する何らかの活動を用いて、アプリケーションが稼働している状態でテストを行うことに重点を置いています。

エンゲージメント

Mon, 01 Jan 0001 00:00:00 +0000

組織 → アセット → エンゲージメント → テスト → 検出事項

概要

DefectDojoのアセット階層において、エンゲージメントは、特定のアセット内で関連するテストのグループを表す、期間またはパイプラインに紐づくコンテナです。定期的であれ一度限りであれ、計画されたテスト作業がある場合、エンゲージメントはその関連結果すべてを保存する場所を提供します。

エンゲージメントの例には以下が含まれます。

単発のペネトレーションテスト
毎月または四半期ごとの定期スキャン
バグバウンティのレビュー期間
CI/CDパイプラインの実行(各パイプラインを個別のエンゲージメントとして扱うチームの場合)
コードリリースサイクル(例:「v4.2リリースセキュリティレビュー」)

エンゲージメントタイプ

DefectDojoは、インタラクティブとCI/CDという2つのエンゲージメントタイプをサポートしています。これらのタイプは、テストが通常どのように作成され、スキャン結果がどのようにインポートされるかを決定します。

インタラクティブエンゲージメントは、通常エンジニアによって実行されます。インタラクティブエンゲージメントは、自動テスト、人間のテスター、またはアプリケーションの機能と「インタラクト」する何らかの活動を使用して、実行中のアプリケーションをテストすることに焦点を当てています。

テスト

Mon, 01 Jan 0001 00:00:00 +0000

組織 → アセット → エンゲージメント → テスト → 検出事項

概要

テストとは、1つ以上のスキャン実行を格納するコンテナであり、製品内の欠陥を発見するために使用されます。テストはDefectDojoの製品階層における最終的かつ最も詳細な粒度のコンポーネントであり、セキュリティツールの実行または手動評価の結果として得られる検出事項を格納するコンテナとして機能するとともに、その検出事項がどのような文脈で発見されたか(どのツールが報告したか、そのツールが最後に実行されたのはいつかなど)という情報も付加します。

テストの例には、以下のようなものがあります。

静的アプリケーションセキュリティテスト(SAST)
動的アプリケーションセキュリティテスト(DAST)
ソフトウェア構成分析(SCA)
コンテナセキュリティスキャン
インフラストラクチャ/ネットワークスキャン
手動ペネトレーションテスト
CI/CDパイプラインスキャン

テストの種類

DefectDojoでテストを作成する主な方法は2つあります。

テスト

Mon, 01 Jan 0001 00:00:00 +0000

Organizations → Assets → Engagements → TESTS → Findings

概要

テストとは、アセット内の欠陥を発見するために実行される1回以上のスキャン実行を格納するコンテナです。テストはDefectDojoのオブジェクト階層の中で最も末端かつ最も細かい単位であり、セキュリティツールの実行や手動評価の結果として得られる検出事項を格納するコンテナであると同時に、そうした検出事項がどのような文脈で発見されたか(どのツールが報告したか、そのツールが最後に実行されたのはいつかなど)という情報も付加します。

テストの例としては、以下のようなものが挙げられます。

静的アプリケーションセキュリティテスト
動的アプリケーションセキュリティテスト
ソフトウェア構成分析
コンテナセキュリティスキャン
インフラストラクチャ/ネットワークスキャン
手動での侵入テスト
CI/CDパイプラインスキャン

テストタイプ

DefectDojoでテストを作成する方法はいくつかあり、ベンダー固有のパーサー(Burp、OWASP ZAP、Acunetix、Invictiなど)、Generic Findings Import、Universal Parser、Connectorsが含まれます。

検出事項

Mon, 01 Jan 0001 00:00:00 +0000

組織 → アセット → エンゲージメント → テスト → 検出事項

概要

検出事項は、個々の脆弱性が追跡・管理される製品階層の最下層を表すものであり、DefectDojoがセキュリティツールの報告・修復プロセスを標準化し、導くための主要な手段です。脆弱性がSonarQube、Acunetix、あるいはチーム独自のツールのいずれで報告されたものであっても、検出事項によってすべての脆弱性を同じ方法で管理できます。

検出事項の例には、以下のようなものがあります。

HttpOnly属性が設定されていないCookie
バージョンが古い(PHP)
帯域外コード評価(PHP)
バージョンが古い(MySQL)
バックアップソースコードの検出
ブラインドクロスサイトスクリプティング

脆弱性データを保存し、修復のためのフレームワークを提供することに加えて、DefectDojoは以下の方法で検出事項を強化します。

悪用可能性を示す関連のEPSSスコアを検出事項に自動的に追加する
セキュリティツールの深刻度指標を各検出事項の深刻度スコアに自動的に変換し、アセットのSLA設定に応じて検出事項にSLAを付与する。SLA設定の詳細については、こちらをクリックしてください。

全体として、検出事項は製品階層と連携して機能するように設計されており、取り組みを標準化し、各アセットに一貫した方法を適用します。

検出事項

Mon, 01 Jan 0001 00:00:00 +0000

組織 → アセット → エンゲージメント → テスト → 検出事項

概要

検出事項は、個々の脆弱性が追跡・管理される製品階層の最下層に位置し、DefectDojoがセキュリティツールのレポートおよび修復プロセスを標準化し導くための主要な手段として機能します。脆弱性がSonarQube、Acunetix、またはチーム独自のツールのいずれで報告されたかに関わらず、検出事項によって同じ方法で各脆弱性を管理できます。

検出事項の例には以下のようなものがあります。

Cookie に HttpOnly 属性が設定されていない
バージョンが古い (PHP)
帯域外コード評価 (PHP)
バージョンが古い (MySQL)
バックアップソースコードの検出
ブラインドクロスサイトスクリプティング

脆弱性データを保存し、修復のためのフレームワークを提供することに加えて、DefectDojoは以下の方法で検出事項を強化します。