ツールリファレンス on DefectDojo Documentation

Upstream Connectors ツールリファレンス

Mon, 01 Jan 0001 00:00:00 +0000

注: Upstream Connectors は DefectDojo Pro 限定の機能です。

対応ツール向けに Connector をセットアップする際は、そのツールの API に関する特定の情報を DefectDojo に提供する必要があります。基本的には、以下が必要です。

Location - 通常、ネットワーク内のツールの URL を指すフィールド
Secret - 通常は API キー

ツールによっては、Location と Secret 以外にも追加の API 関連フィールドが必要になる場合があります。また、DefectDojo からの Connector 接続を受け入れるために、ツール側での設定変更が必要になることもあります。

ダウンストリームコネクタツールリファレンス

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo のダウンストリームコネクタをサードパーティの Issue トラッカーと連携させるための、具体的な設定手順を以下に示します。

Acunetix 360

Mon, 01 Jan 0001 00:00:00 +0000

Acunetix 360 コネクタは、Acunetix 360 クラウドプラットフォーム(Invicti プラットフォーム)からDAST 脆弱性の検出事項をインポートします。DefectDojo はアカウント内でスキャンされた Web サイトを検出し、Web サイトごとにレコードを作成します。Web サイトの検出事項は、その最新の完了済みスキャンから取得されます。

ご注意ください: このコネクタは(online.acunetix360.com のクラウド製品である)Acunetix 360 用です。異なる API を持つオンプレミス版の Acunetix Standard/Premium スキャナ用ではありません。

Akamai API Security

Mon, 01 Jan 0001 00:00:00 +0000

Akamai API Security コネクタは API キーを使用して Akamai API からセキュリティの検出事項を取得します。DefectDojo は Akamai 環境を検出し、アカウントに設定されたApplication と Host ごとに個別のレコードを作成します。

Prerequisites

Akamai API へのアクセス権を持つ API キーが必要です。自動操作とチームによる手動操作を明確に区別するため、DefectDojo 専用のサービスアカウントを作成することをお勧めします。

Anchore

Mon, 01 Jan 0001 00:00:00 +0000

Anchore コネクタはユーザーの API トークンを使用して Anchore Enterprise からデータを取得します。製品は「Applications」に基づいてマッピング・検出されます。Applications は Anchore 内の複数の Image で構成されます。詳細は Anchore Enterprise Documentation を参照してください。

Connector Mappings

Location フィールドに Anchore の URL を入力します。これは Anchore にアクセスする際の URL です。
Secret フィールドに有効な API Key を入力します。これは Burp Service アカウントに紐づく API キーです。

Anchore のトークン作成に関する詳細は、公式の Anchore documentation を参照してください。

Azure DevOps

Mon, 01 Jan 0001 00:00:00 +0000

Azure DevOps コネクタはAsset Connectorです。Azure DevOps 組織内のすべてのプロジェクトにある git リポジトリを列挙し、リポジトリごとに DefectDojo のアセットを作成し、Azure DevOps のプロジェクト単位で組織にグループ化します。検出事項はインポートされません。

Prerequisites

組織用の Personal Access Token(PAT)が必要です。専用のサービスアカウントからトークンを作成することをお勧めします。必要なのは読み取りスコープのみです。

Azure DevOps で User settings > Personal access tokens > New Token を開きます。
Show all scopes をクリックし、Code: Read と Project and Team: Read を選択します。

対応しているのは Azure DevOps Services(dev.azure.com)のみです。オンプレミスの Azure DevOps Server には現時点で対応していません。

Azure DevOps Boards

Mon, 01 Jan 0001 00:00:00 +0000

Instance Setup

Label は、この統合を識別するために使用したいラベルを設定します。
Location は、Azure の URL を設定します。例: https://dev.azure.com/{your organization}
Token は、Azure のパーソナルアクセストークンを設定します。

Azure DevOps での認証には、作業対象の Azure プロジェクトの「Work Items」に対して「Read, Write and Manage」権限を持つパーソナルアクセストークンが必要です。

Backstage

Mon, 01 Jan 0001 00:00:00 +0000

Backstage コネクタはasset connectorです。検出事項をインポートする代わりに、Backstage の Software Catalog を DefectDojo に取り込み、製品階層とチームの所有関係をそれと同期させます。サービスインベントリと組織構造を Backstage で管理しており、DefectDojo にはそれを手作業ではなく自動的にミラーしてほしい組織向けに設計されています。

What gets mapped

Backstage	DefectDojo
System	製品タイプ(System を持たない Component は、設定可能な「Backstage / Uncategorized」製品タイプの下にグループ化されます)
Component	製品 — エンティティの `title`(なければ `name` にフォールバック)から命名され、カタログの description が付与されます
Owning Group(`ownedBy` リレーション)	製品に紐づく DefectDojo のグループ(デフォルトのロール: Maintainer、設定変更可能)
Owner email(グループプロファイルの email、または User オーナーの email)	同じ email を持つ DefectDojo ユーザーが既に存在する場合、そのユーザーが製品メンバーになります(ユーザーが新規作成されることはありません)
`metadata.tags`、`spec.type`、`spec.lifecycle`、namespace、domain	`backstage:` プレフィックス付きの製品タグ
`metadata.annotations`	レコードに(上限付きで)保存されます。特定の annotation は Annotation Mappings を通じて第一級の属性やタグに昇格できます

レコードはエンティティのサーバー側で割り当てられた metadata.uid をキーとするため、Backstage 上でのリネームは次回の同期でマッピング済みの製品をその場で更新します。重複は発生しません。製品名は常にカタログに追従します。このコネクタが管理する製品をリネームするには、Backstage 上で Component をリネームしてください(DefectDojo 側でのリネーム、または手動マッピング時に付けたカスタム名は、他の製品と衝突しない限り、次回の同期でカタログ名に合わせて調整されます)。所有者の変更は、製品のグループ割り当てを移動させます。カタログから消えた(または backstage.io/orphan annotation が付いた)Component は MISSING としてマークされます。DefectDojo が自ら製品を削除することはありません。Domain と Group の階層(親チーム)はタグ/メタデータとしてのみ記録され、追加の階層レベルを作成することはありません。

Bitbucket

Mon, 01 Jan 0001 00:00:00 +0000

アップストリームコネクタ

Bitbucket コネクタはAsset Connectorです。指定した Bitbucket Cloud ワークスペース内のリポジトリを列挙し、リポジトリごとに DefectDojo のアセットを作成し、Bitbucket のプロジェクト単位で組織にグループ化します。検出事項はインポートされません。

Prerequisites

Bitbucket Cloud ではスコープ付きの Atlassian API トークンが必要です。従来の(スコープなしの)Atlassian API トークンは、Bitbucket 側で「API Token provided has no Bitbucket scopes」エラーとして拒否されます。

Black Duck

Mon, 01 Jan 0001 00:00:00 +0000

Black Duck コネクタは、Black Duck(Synopsys / Black Duck)Hub インスタンスから**ソフトウェア構成分析(SCA)**の検出事項をインポートします。DefectDojo はインスタンス内のすべてのプロジェクトを検出し、プロジェクトごとにレコードを作成します。プロジェクトの検出事項は、選択されたバージョンの脆弱な BOM コンポーネントから取得されます。

Prerequisites

インポートしたいプロジェクトを閲覧できるユーザーの Black Duck API トークンが必要です。Black Duck でユーザーメニュー > My Access Tokens > Create New Token を開き、(少なくとも)読み取りアクセスを付与して、表示されたトークンをコピーしてください(表示されるのは一度きりです)。コネクタは各同期時にこのトークンを短命なベアラートークンと交換します。コネクタの secret フィールド以外に平文で保存されることはありません。

ツールリファレンス on DefectDojo Documentation

Upstream Connectors ツールリファレンス

ダウンストリームコネクタ ツールリファレンス

Acunetix 360

Akamai API Security

Prerequisites

Anchore

Connector Mappings

Azure DevOps

Prerequisites

Azure DevOps Boards

Instance Setup

Backstage

What gets mapped

Bitbucket

アップストリームコネクタ

Prerequisites

Black Duck

Prerequisites

ダウンストリームコネクタツールリファレンス