連邦コンプライアンス on DefectDojo Documentation

コンプライアンスプロファイル

Mon, 01 Jan 0001 00:00:00 +0000

コンプライアンスプロファイルは、Assetをシステムとして登録し、そのシステムが生成するすべての成果物に表示される情報を保持します。システム境界を表すAssetを開き、Complianceタブ、続いてProfileに移動します。

プロファイルのフィールド

Field	What it does
Enabled	この製品のコンプライアンス追跡を有効にします。
Automatic Sync	POA&M項目を検出事項と同期した状態に保ちます。
POA&M ID Prefix	項目の採番方法。必須です。デフォルトでは`V-1`、`V-2`のように採番されます。
Impact Level	LI-SaaS、Low、Moderate、またはHigh。
Cloud Service Provider	POA&Mの表紙データに表示されるCSP名。
System / Offering Name	POA&Mの表紙データに表示されるシステム名。
FedRAMP System Identifier	システムの識別子(例: `F00000042`)。
Default Point of Contact	独自の担当者を持たない項目に適用されるPOC。
Scan Item Policy	未解決の項目をすべて含めるか、期限超過のスキャン項目のみを含めるか。
OSCAL SSP Reference	任意項目。設定すると、生成されるOSCAL POA&Mが`import-ssp`を通じてこれを参照します。

スキャン項目ポリシーを選ぶ

期限超過のみとするのは、FedRAMP ConMonの最低要件です。Include all open items(未解決の項目をすべて含める)はより保守的な選択肢であり、デフォルトの設定です。

POA&M台帳

Mon, 01 Jan 0001 00:00:00 +0000

POA&M項目は検出事項から自動的に作成・更新されます。同期はインポートおよび検出事項の変更の直後に実行され、夜間の一括処理で漏れたものを拾い上げます。スキャナーが報告しない弱点については、手動で項目を追加することもできます。

台帳の規則

台帳はFedRAMPの規則に従います。

安定した採番。 各項目はそのシステム内で連番を保持し、番号が再利用されることはありません。
グループ化された検出事項の集約。 多数のホストにまたがる同一のCVEは1つの項目にまとめられ、影響を受ける各資産がその項目に列挙されます。
構成に関する検出事項はCM-6の下に統合できます。 ベンチマークルールごとに項目が乱立して台帳が埋め尽くされるのを防ぎます。上のスクリーンショットでは、V-4がその統合された項目です。
完了した項目は再開されません。 同じ弱点が再発した場合、台帳は古い項目を参照する新しい項目を開くため、是正履歴はそのまま保たれます。

項目を編集する

各行の鉛筆アイコンから項目を編集できます。

ここから、担当者、必要なリソース、是正計画を設定し、逸脱があれば記録します。

逸脱

逸脱は、各項目について3つの独立した状態として追跡されます。

Deviation	Values
False Positive	No, Pending, or Yes
Risk Adjustment	No, Pending, or Yes
Operational Requirement	No, Pending, or Yes

いずれも共通のDeviation Rationaleを持ちます。リスク調整の場合はさらに、元の評価と並べてAdjusted Risk Ratingが記録され、両方とも生成される成果物に表示されます。

ConMonスナップショット

Mon, 01 Jan 0001 00:00:00 +0000

Snapshotsタブでは、Generate Snapshotが報告期間の成果物を生成します。スナップショットはその時点で台帳を凍結します。つまり、その後の編集が、すでに生成済みの成果物を変更することはありません。

各行には、期間、ステータス、未解決および期限超過の項目数、完了日時、そして両方の成果物のダウンロードリンクが表示されます。

スナップショットが生成するもの

各スナップショットは2つの成果物を生成します。

公式のFedRAMP POA&M Excelワークブック(テンプレートバージョン3.0)。未解決、完了、構成の各項目がそれぞれ適切なワークシートに配置されます。
OSCAL plan-of-action-and-milestones文書。OSCAL 1.0.4に固定されています — これはFedRAMPの現行の検証ルールが受け付けるバージョンです。

OSCAL出力が含む内容

OSCAL文書は、FedRAMPツールが参照するフィールド(POA&M ID、影響を受ける統制ID、逸脱の状態、ベンダー依存、KEV追跡)に対して、FedRAMPの拡張名前空間を使用します。

各リスクには以下が含まれます。

可能性と影響の側面 — 初期値、およびリスク調整が承認された場合の調整後の値。
推奨される修正と計画された是正措置を、それぞれ別の対応として。
検知と最新のステータスレビューを記録するリスクログ。

文書は生成時に公式のNISTスキーマに照らして検証されます。

修復期限

Mon, 01 Jan 0001 00:00:00 +0000

この機能には、すぐに使える2つのSLA設定が同梱されています。SLA設定からいずれかを製品に割り当てるか、コピーして調整してください。

FedRAMP Rev 5

Severity	Due within
重大	検出から30日
高	検出から30日
中程度	90日
低	180日

期限は厳格に適用されており、CISA KEVカタログに掲載されている検出事項が、そのCISA期限を超えてスケジュールされることはありません。

FedRAMP VDR

同じ基本期間を、悪用可能性と露出状況によってさらに厳格化したものです。

CMMC Level 2 評価

Mon, 01 Jan 0001 00:00:00 +0000

Complianceタブでは、DoD Assessment Methodologyの配点を用いて、NIST 800-171 Rev 2に基づくCMMC Level 2の自己評価を採点できます。

ベータ版: スコアは目安として扱ってください。 この機能がベータ版である間、同梱の配点および算出されるSPRSスコアは参考情報であり、検証は未実施です。評価の提出や契約上の目的で利用する前に、公式のDoD NIST SP 800-171 Assessment Methodologyと照合してスコアを確認してください。

結果を記録する

110の要件それぞれについて結果を記録します。

統制カバレッジ

Mon, 01 Jan 0001 00:00:00 +0000

統制カバレッジビューは、シンプルな問いに答えます。自分のスキャナーは実際にどの800-53統制をテストしているのか、そして統制ごとの未解決の弱点はどこにあるのか、という問いです。

マッピングの出所

多くのスキャナーはすでに統制参照を出力しており、DefectDojoはそれらを自動的に統制マッピングへ抽出します。例えば以下のとおりです。

Prowlerは検出事項の参照にNIST 800-53の統制リストを書き込みます。
Tenableのプラグインは800-53の相互参照を持ちます。
InSpecおよびMITRE SAFのプロファイルは、チェックにnist識別子でタグ付けします。

抽出はインポート済みのカタログに基づいて行われるため、カタログが認識しない識別子からマッピングが生成されることはありません。

独自の統制参照を持たない検出事項は、コンプライアンスプロファイルのデフォルトスキャン統制に割り当てられます — コンプライアンスプロファイルを参照してください。

既存の検出事項を遡って処理する

抽出は検出事項が到着するたびに実行されます。機能が有効化される前にすでにインポートされていた検出事項をマッピングするには、それらを遡って処理します。

manage.py extract_control_mappings --product <id>

1つの製品ではなくすべてのアクティブな検出事項をスキャンするには--allを使用します。このコマンドは作成したマッピングの数を報告し、手動マッピングと抑制済みマッピングには手を加えません。

マッピングを修正する

手動で作成または修正したマッピングは、常に抽出されたマッピングより優先されます。また、削除したマッピングは削除されたままになり、再インポートしても復活しません。