統制カバレッジ (Pro)

統制カバレッジビューは、シンプルな問いに答えます。自分のスキャナーは実際にどの800-53統制をテストしているのか、そして統制ごとの未解決の弱点はどこにあるのか、という問いです。

マッピングの出所#

多くのスキャナーはすでに統制参照を出力しており、DefectDojoはそれらを自動的に統制マッピングへ抽出します。例えば以下のとおりです。

• Prowlerは検出事項の参照にNIST 800-53の統制リストを書き込みます。
• Tenableのプラグインは800-53の相互参照を持ちます。
• InSpecおよびMITRE SAFのプロファイルは、チェックにnist識別子でタグ付けします。

抽出はインポート済みのカタログに基づいて行われるため、カタログが認識しない識別子からマッピングが生成されることはありません。

独自の統制参照を持たない検出事項は、コンプライアンスプロファイルのデフォルトスキャン統制に割り当てられます — コンプライアンスプロファイルを参照してください。

既存の検出事項を遡って処理する#

抽出は検出事項が到着するたびに実行されます。機能が有効化される前にすでにインポートされていた検出事項をマッピングするには、それらを遡って処理します。

manage.py extract_control_mappings --product <id>

1つの製品ではなくすべてのアクティブな検出事項をスキャンするには--allを使用します。このコマンドは作成したマッピングの数を報告し、手動マッピングと抑制済みマッピングには手を加えません。

マッピングを修正する#

手動で作成または修正したマッピングは、常に抽出されたマッピングより優先されます。また、削除したマッピングは削除されたままになり、再インポートしても復活しません。

ビューに表示される内容#

• 統制ファミリー別のヒートマップ。
• 統制ごとのマッピングされた未解決の検出事項。

統制は、同梱のカタログ(NIST 800-53 Rev 5およびNIST 800-171 Rev 2)から取得され、いずれも起動時にインポートされます。

この機能がベータ版である間、カバレッジは参考情報です。 統制カバレッジは、スキャナーが報告する内容と、同梱のカタログが認識する内容を反映したものです。統制が実装されている、または有効であることを証明するものではありません。評価に利用する前に、System Security Planと照合してカバレッジを確認してください。

監査可能性#

統制マッピングは監査履歴の対象です。すべての変更について、誰が、何を、いつ行ったかが記録されます。