自動化 on DefectDojo Documentation

DefectDojo API v2

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoのAPIはDjango Rest Frameworkを使用して作成されています。各エンドポイントのドキュメントは、各DefectDojoインストール内の /api/v2/oa3/swagger-uiで利用でき、ヘッダーのユーザードロップダウンメニューにあるAPI v2 Docsリンクを選択することでアクセスできます。

このドキュメントはdrf-spectacularを使用して/api/v2/oa3/swagger-ui/で生成されており、インタラクティブに操作できます。API v2 Docsの上部には、OpenAPI v3仕様を生成するリンクがあります。

ドキュメントを操作するには、有効なAuthorizationヘッダーの値が必要です。/api/key-v2ビューにアクセスしてAPIキー(Token <api_key>)を生成し、表示されたヘッダーの値をコピーしてください。

各セクションでは、APIを呼び出し、リクエスト URL、レスポンスボディ、レスポンスコード、レスポンスヘッダーを確認できます。

Defect DojoのWeb UIにログインしている場合、認証トークンを指定する必要はありません。

Authentication

APIはAPIキーによるヘッダー認証を使用します。ヘッダーの形式は次のとおりです: :

言語とコード行数

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoでは、cloc(Count Lines of Code)ツールのレポートをAPI経由でインポートすることで、製品のプログラミング言語とコード行数の内訳を表示できます。

Generating the cloc Report

--jsonフラグを付けてclocをコードベースに対して実行し、正しい形式のJSONファイルを生成します:

cloc --json /path/to/your/project > cloc-report.json

Importing via the API

JSONレポートをAPI経由でDefectDojoにアップロードします。インポート時には、製品の既存の言語データはすべて新しいファイルの内容に置き換えられます。

レート制限

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoには、ブルートフォース攻撃から保護するためのログインページのレート制限機能が含まれており、Django Ratelimitによって実現されています。

Configuration

レート制限は以下の設定によって構成されます(これらの適用方法についてはConfigurationを参照してください):

DD_RATE_LIMITER_ENABLED=(bool, True),
DD_RATE_LIMITER_RATE=(str, '5/m'),
DD_RATE_LIMITER_BLOCK=(bool, True),
DD_RATE_LIMITER_ACCOUNT_LOCKOUT=(bool, True),

Rate Limit (`DD_RATE_LIMITER_RATE`)

リクエストを制限する頻度を設定します。サポートされている単位:

秒: 1s
分: 5m
時間: 100h
日: 2400d

より詳細な設定オプションについては、Django Ratelimit rates docsを参照してください。

通知Webhook

Mon, 01 Jan 0001 00:00:00 +0000

これは実験的なオープンソース機能です — 今後のリリースで動作が変更される可能性があります。

Webhookは、特定のイベントが発生するたびに、DefectDojoインスタンスからユーザー定義のサーバーへ送信されるアウトバウンドHTTPリクエストです。

Setup

Webhookエンドポイントは管理者が設定します。Webhookが作成されると、DefectDojoはエンドポイントに到達可能であり、期待されるステータスコードを返すことを確認するためにpingイベントを送信します。

Endpoint State Transitions

DefectDojoは配信の成功状況を監視し、HTTPレスポンスやネットワーク障害に基づいてエンドポイントを一時的または恒久的に無効化します。管理者による手動での再有効化も可能です。

スタジアム型の状態: アクティブ — Webhookを送信できます
矩形の状態: 非アクティブ — Webhookの配信は失敗し、再試行されません
状態遷移のトリガー: 対象サーバーからのHTTPレスポンス、celeryの自動処理、または管理者による手動操作

Request Headers

すべてのWebhookリクエストには、以下のヘッダーが含まれます:

自動化 on DefectDojo Documentation

DefectDojo API v2

Authentication

言語とコード行数

Generating the cloc Report

Importing via the API

レート制限

Configuration

Rate Limit (DD_RATE_LIMITER_RATE)

通知Webhook

Setup

Endpoint State Transitions

Request Headers

Rate Limit (`DD_RATE_LIMITER_RATE`)