アセット階層 on DefectDojo Documentation

PriorityとRiskおよびSLAの割り当て

Mon, 01 Jan 0001 00:00:00 +0000

効果的なリスクベースの脆弱性管理には、ビジネスコンテキストと技術的な悪用可能性の両方を考慮したアプローチが必要です。DefectDojo ProのPriorityおよびRisk機能を使用すると、ユーザーは検出事項を意味のあるコンテキストへ自動的に分類し、影響度の高い脆弱性を優先的に対応できるようになります。

Priorityは、DefectDojoインスタンス内のすべての検出事項に適用される、算出された数値ランクです。特に多数の検出事項や製品のセキュリティニーズを統括する大規模な組織において、脆弱性をコンテキストの中で素早く把握できるようにします。

Riskは、検出事項の悪用可能性をより重視した4段階のランク付けシステムです。これはPriorityよりも粒度が低く、より「経営層向け」のバージョンとして位置付けられています。

PriorityとRiskの値は、他のフィルタと組み合わせて、あらゆるコンテキストで検出事項を比較するために使用できます。例えば以下のような単位です。

単一の製品、エンゲージメント、またはテスト内
DefectDojoの全製品にわたるグローバルな比較
特定の少数の製品間での比較

検出事項のPriorityとRiskを適用することで、チームは組織内で最も重要な脆弱性に対応しやすくなり、また規制標準への準拠を支援するフレームワークにもなります。

PriorityとRiskについて詳しくは、DefectDojo, Inc.の2025年5月のOffice Hoursをご覧ください。

PriorityとRiskの計算方法

Priorityの値の範囲は0から1150です。数値が高いほど、その検出事項のトリアージまたは修復の緊急度が高いことを意味します。

アセット階層

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Proは、データモデルの柔軟性を高めるために、製品/製品タイプのオブジェクトクラスを拡張しています。

Enabling the Hierarchy Feature

以下の2つの要素は別個のものであり、それぞれ異なる方法で制御されます。

Asset Hierarchy

アセット階層は、アセット間の親子関係を可能にします。この階層は、ナビゲーションの製品タブから表示および管理できます。

アセット階層は一般提供されており、クラウド版・オンプレミス版を問わずすべてのインスタンスで有効になっています。特に有効化する操作は不要で、Feature Flagsページにも表示されなくなりました。

Label Changes (optional)

ラベル変更は、UI全体で"Product Type"を"Organization"に、“Product"を"Asset"に名称変更します。これは階層機能の有効化とは別の手順であり、同時に行うことも、後から行うこともできます。

ラベル変更は、3.0以降デフォルトで有効になっています。アプリケーションの異なる部分をカバーする、2つの制御があります:

Pro UI(デフォルトのUI): スーパーユーザーが、クラウド版・オンプレミス版の両方のインスタンスでSettings > Feature Flagsの"Organization / Asset Relabeling"を切り替えます。新しいラベルは次回のページ読み込み時に表示されます。Feature Flagsを参照してください。
クラシックUIのページと生成されるレポート: これらのラベルとURLは、DefectDojoの起動時に読み込まれるDD_ENABLE_V3_ORGANIZATION_ASSET_RELABELデプロイメント設定によって決まります。オンプレミスの場合は、この設定を行いDefectDojoを再起動してください。DefectDojo Pro (Cloud)の場合は、インスタンスのURLを添えてまでメールでお問い合わせください。

どちらもデフォルトで有効になっており、Feature Flagsの値はデプロイメント設定から初期値が設定されているため、どちらか一方を変更しない限り両者は一致します。Pro UIに加えてクラシックUIも使用している場合は、両者を同期させた状態に保ってください。

脅威インテリジェンス

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Proは、悪用可能性、既知の悪用事例、脅威アクターの活動といった専用の脅威インテリジェンスで検出事項をエンリッチし、それをPriorityとRiskに反映します。これはEPSSやCISA KEVフラグをはるかに超える情報です。

得られるもの

CVEを持つすべての検出事項は、毎晩、CISA KEV、Metasploit、Exploit-DB、Nucleiテンプレート、および一般公開されているPoC(概念実証)の追跡情報から構築された厳選済みのインテリジェンスフィードと照合されます。悪用の証跡がある場合、その検出事項にはThreat Intelligenceカードが表示されます。

**悪用成熟度(exploit-maturity)**バッジ — なし → PoC → 武器化済み → 実際に悪用中
脅威スコア(0〜100)
証跡へのリンクとなるエビデンスチップ — KEVエントリ(掲載日を含む)、ランサムウェアでの使用、Metasploitモジュール、Exploit-DBエントリ、Nucleiテンプレート、一般公開されているPoCリポジトリ
その検出事項のpriorityが上昇した理由を説明する平易な一文

カードだけでなく、このインテリジェンスはアプリ全体で利用できる情報にもなっています。

製品ヘルスグレード

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoは、含まれる検出事項の件数に基づいて製品にグレードを算出することができます。グレードはA〜Fでランク付けされます。

Product Gradeに影響するのはアクティブかつ検証済みの検出事項のみである点に注意してください。未検証の検出事項は影響を与えません。

Product Gradeの計算

すべてのProduct Gradeは(検出事項がない状態で)100から始まります。

グレードの計算では、まず製品内の検出事項の中で最も高い深刻度レベルを確認し、Product Healthをその基準レベルまで引き下げます。

検出事項の最も高い深刻度レベル	最大グレード
重大	40
高	60
中	80
低	95

その後、追加の検出事項ごとにグレードからさらにポイントが差し引かれます。