アセット階層 on DefectDojo Documentation

アセット階層: 概要

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoは、作業を整理するために5つの主要なデータクラスを使用します: 組織、アセット、エンゲージメント、テスト、検出事項です。

DefectDojoは、チームをツールに合わせるのではなく、ツールをチームに合わせて柔軟に運用できるように設計されています。これらのデータクラスを使って作業をどのように整理できるかを理解すれば、堅牢で柔軟なワークスペースを設計できるようになります。

アセット階層図

組織

DefectDojoでまず設定する必要があるデータのカテゴリは組織です。組織は、特定の方法でアセットを分類することを目的としています。例えば以下のような分類が考えられます。

事業ドメイン別
開発チーム別
セキュリティチーム別

アセットは、それぞれの組織の下にグループ化されてネストされます。

組織にはロールベースアクセス制御のルールを適用でき、チームメンバーがそのデータ(配下のエンゲージメント、テスト、検出事項データを含むアセット)を閲覧・操作できる範囲を制限できます。ユーザーロールの詳細については、Introduction To Rolesの記事を参照してください。

組織は何を表すことができますか?

特定のソフトウェアプロジェクトに多数の異なるデプロイやバージョンがある場合、プロジェクト全体のスコープをカバーする単一の組織を作成し、各バージョンを個別のアセットとして存在させる方法が有効な場合があります。
また、ソフトウェア開発プロセスの各段階を表すために組織を使用することも考えられます。例えば「In Development」用の組織と「In Production」用の組織を分けるといった方法です。
最終的には、アセットをどのように整理し、組織に何を表現させたいかはあなた次第です。DefectDojoの階層は、セキュリティチームのニーズに合わせて変更する必要があるかもしれません。

アセット

DefectDojoにおけるアセットは、現在テストしているプロジェクト、プログラム、またはアプリケーションを表すことを目的としています。アセットは、その対象に関連するすべてのセキュリティ作業とテスト履歴を保持します。

SLA設定

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoの各製品には、独自のサービスレベルアグリーメント(SLA)設定を持たせることができます。これは、検出事項を修復またはその他の方法で管理するために組織に与えられた日数を表します。

SLAは、検出事項の深刻度、または(DefectDojo Proの場合)**検出事項のリスク**のいずれかに基づいて設定できます。

SLAは、DefectDojo内で検出事項が作成された日を基準として、検出事項に日数のカウントダウンを適用します。カウントダウン期間内に検出事項がクローズされない場合、その検出事項はSLA違反としてラベル付けされます。

SLAの操作

SLAは、組織の修復ポリシーを表現する手段として使用できます。また、DefectDojoインスタンス内で最も長くアクティブな状態にある、最も重大な検出事項を優先順位付けする手段としても使用できます。

検出事項テーブルをSLA日数でソートまたはフィルタリングできます。
SLA違反が発生した際に、関連する製品に割り当てられたDefectDojoユーザーへ通知をトリガーするよう設定できます。
DefectDojo Proでは、SLAのパフォーマンスはExecutive InsightsおよびRemediationメトリクスダッシュボードでも追跡されます。
DefectDojo Proでは、SLAの遵守状況をカスタムダッシュボード上に表示することもできます。例えば、SLA BurndownウィジェットやフィルタリングされたCountウィジェットを使用します。

Mitigated Within SLAステータス

検出事項がSLAの期限までに正常に緩和された場合、その検出事項にはMitigated Within SLA列に✅の緑色のチェックマークが記録されます。

検出事項をソースコードにリンクする

Mon, 01 Jan 0001 00:00:00 +0000

一部のツール（特にSASTツール）は、脆弱性データに関連するファイル名と行番号を含みます。エンゲージメントでソースコードのリポジトリが指定されている場合、DefectDojoはファイルパスをリンクとして表示し、ユーザーは脆弱性の場所に直接移動できます。

エンゲージメントとテストでのリポジトリの設定

エンゲージメント

エンゲージメントの編集中に、ユーザーは特定のソースコード管理リポジトリのURLを設定できます。（Pro UIでは、このフィールドは編集エンゲージメント > オプションフィールド > Repo で設定できます）。

インタラクティブエンゲージメントの場合、ブランチを指定するURLである必要があります。

GitHubの場合 - https://github.com/DefectDojo/django-DefectDojo/tree/dev のような形式
GitLabの場合 - https://gitlab.com/gitlab-org/gitlab/-/tree/master のような形式
パブリックBitBucketの場合 - （git cloneのURLと同様）
スタンドアロン/オンプレミスBitBucketの場合、パブリックなユーザーリポジトリでは https://bb.example.com/scm/some-project/some-repo.git または https://bb.example.com/scm/some-user-name/some-repo.git （git cloneのURLと同様）

CI/CDエンゲージメントの場合、コミットハッシュ、ブランチ/タグ、コード行が変わる可能性があるため、リポジトリのURLのみを含める必要があります。

OWASP ASVSベンチマーク

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoは、Webアプリケーションの技術的なセキュリティ管理をテストするための基準を提供するOWASPアプリケーションセキュリティ検証標準（ASVS）に対して、製品をベンチマークすることをサポートしています。

ベンチマークを使用すると、製品が組織の定めたセキュリティ要件をどの程度満たしているかを測定し、その可視性のためにスコアを製品ページに公開できます。

ベンチマークへのアクセス

ベンチマークは製品ページから利用できます。ベンチマークビューを開くには、製品ページの右上にあるドロップダウンメニューを選択し、メニューの下部にあるOWASP ASVS v.3.1を選択します。

ベンチマークレベル

OWASP ASVSは、検証範囲の3つのレベルを定義しています。

レベル1 – すべてのソフトウェアが対象です。最も重大なセキュリティ要件を最も低いコストで検証します。これはDefectDojoのデフォルトレベルです。
レベル2 – 機密データを含むアプリケーションが対象です。ほとんどのアプリケーションに適しています。
レベル3 – 高額な取引を扱う、または機密性の高い医療・財務・安全データを保存するなど、最も重要なアプリケーションが対象です。

ベンチマークビューの右上にあるドロップダウンを使用して、レベルを切り替えることができます。

ベンチマークスコア

ベンチマークビューの左側には、選択したASVSレベルにおける製品の現在のスコアが表示されます。

アセットヘルスグレード

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoは、アセットに含まれる検出事項の量に基づいてアセットのグレードを算出できます。グレードはAからFの範囲でランク付けされます。

アセットのグレードに影響するのは、アクティブかつ検証済みの検出事項のみである点に注意してください。未検証の検出事項は影響しません。

各アセットのヘルスグレード(A - F)は、アセットリスト内でその名前の横に表示されます。

アセットグレードの計算

すべてのアセットグレードは(検出事項がない状態で)100から始まります。

グレードの計算では、まずアセット内の検出事項の中で最も高い深刻度レベルを確認し、アセットのヘルスをベースレベルまで引き下げます。

検出事項の最高深刻度レベル	最大グレード
重大	40
高	60
中	80
低	95

さらに、追加の検出事項ごとにグレードから点数が減点されます。

追加の検出事項の深刻度レベル	減点数
重大	5
高	3
中	2
低	1