Upstream Connectors ツールリファレンス (Pro)

注: Upstream Connectors は DefectDojo Pro 限定の機能です。

対応ツール向けに Connector をセットアップする際は、そのツールの API に関する特定の情報を DefectDojo に提供する必要があります。基本的には、以下が必要です。

Location - 通常、ネットワーク内のツールの URL を指すフィールド
Secret - 通常は API キー

ツールによっては、Location と Secret 以外にも追加の API 関連フィールドが必要になる場合があります。また、DefectDojo からの Connector 接続を受け入れるために、ツール側での設定変更が必要になることもあります。

ツールごとに API の設定は異なるため、このガイドでは DefectDojo が接続できるように各ツールの API をセットアップする方法を説明します。

可能な限り、Connector 専用に利用する新しい「DefectDojo Bot」アカウントをセキュリティツール内に作成することをお勧めします。これにより、チームが手動で行った操作と Connector による自動操作を区別しやすくなります。

Asset Connectors

ほとんどの Connector はセキュリティツールから検出事項をインポートします。Asset Connectors はこれとは異なる動作をします。検出事項ではなくアセットインベントリをインポートします。Asset Connector は外部プラットフォームに存在するアセット(例えば GitLab グループ内のリポジトリ)を列挙し、DefectDojo 内に対応する製品(アセット)と製品タイプ(組織)を自動的に作成・維持します。Asset Connector によって検出事項がインポートされることはありません。

Discover と Sync はどちらもアセット一覧を突き合わせます。新しいアセットは NEW レコードとして表示され、(自動マッピングが有効な場合は自動的に)マッピングされると、DefectDojo はそのツールから導出された製品タイプ(例えば GitLab の namespace や Azure DevOps のプロジェクト)の下に製品を作成し、グループ化します。
アセットが後で上流側で削除された場合(例えばリポジトリが削除された場合)、次の Sync 時にマッピング済みのレコードが MISSING としてフラグされ、チームがトリアージできるようになります。DefectDojo が製品を無言で削除することはありません。

Azure DevOps、Backstage、Bitbucket、GitHub、GitLab、Jira Service Management Assets、ServiceNow CMDB は Asset Connectors です。runZero は主に Asset Connector ですが、脆弱性を検出事項としてインポートするオプションも備えています。以下に挙げるその他すべての Connector は検出事項をインポートします。

Supported Connectors

Jira(レガシー)

Jira