DefectDojoについて on DefectDojo Documentation

DefectDojoについて

Tue, 02 Feb 2021 20:46:29 +0100

DefectDojo, Inc.およびオープンソースコントリビューターは、DefectDojoのCommunity版とPro版の両方をサポートするために本ドキュメントを管理しています。

DefectDojoとは?

DefectDojoは、Developer Security Operations(DevSecOps)プラットフォームです。DefectDojoは、お使いのセキュリティツール群を自動的に集約することでDevSecOpsを効率化し、セキュリティ業務を簡単に整理して、組織のセキュリティ体制を他のステークホルダーに報告できるようにします。

セキュリティプロセスの自動化と統合された開発パイプラインはDefectDojoの最終目標ですが、このソフトウェアの中核は、多数のセキュリティツールからのレポートを取り込み、整理し、標準化するためのセキュリティ脆弱性向けバグトラッカーです。

DefectDojoは何をするのか?

DefectDojoには、セキュリティツールの結果を強化・調整するためのスマートな機能が備わっており、以下のようなことが可能です。

コンテキストに応じてセキュリティの検出事項を追跡・報告する
コンテキストに応じてSLAを適用する
誤検知、リスク受容、その他のトリアージ判断を処理する
DefectDojoの重複排除アルゴリズムを使用して重複を排除する
外部のプロジェクト追跡ソフトウェアと連携する。
CI/CD連携を使用して、リポジトリや開発ブランチ全体にわたるメトリクス/レポートを提供する。
従来型のペネトレーションテスト管理を調整する。
脆弱性修正手順のSLAを設定・適用する。
セキュリティ脆弱性に対するリスク受容を作成・追跡する。

最終的に、DefectDojoの製品:エンゲージメントモデルにより、開発環境の棚卸しを行い、新しいセキュリティの検出事項を即座にコンテキストの中に位置付けることができます。

機能比較

Tue, 02 Feb 2021 20:46:29 +0100

DefectDojo Open-Sourceは、コアとなるインポート機能、重複排除、基本的なダッシュボード、APIアクセス、必須のレポート機能を備えた、強力で無料の脆弱性管理プラットフォームです。小規模なチームや、コミュニティリソースを使ってツールを自己ホスティングし拡張したい方に最適です。

DefectDojo Proは、その基盤の上に、高度なダッシュボードとレポート、ルールエンジンによる自動化とスクリプティング、多数のセキュリティツールへのコネクタ、最適化されたインポートワークフロー、SOCとAppSecの統合サポート、改善されたUI/UX、AI連携、強化されたセキュリティ(SSO/MFA)、プレミアムサポートオプションなど、エンタープライズ志向の機能を追加しています。

Feature / Capability	DefectDojo Open-Source	DefectDojo Pro
コア脆弱性管理	✔️ 500以上のセキュリティツールから検出事項をインポート、追跡、管理	✔️ Open-Sourceのすべての機能をスケールに最適化
検出事項の重複排除	✔️ 標準の重複排除	✔️ 高度で設定可能な重複排除
REST API	✔️ フルREST API	✔️ フルREST API
認証とアクセス制御	✔️ ローカル認証と基本的なRBAC	✔️ SSO(SAML/OAuth)、MFA、高度なRBAC
ユーザーインターフェース	✔️ Community UI	✔️ パフォーマンスが改善されたモダンなPro UI
ダッシュボードとレポート	✔️ 基本的なダッシュボードとレポート	✔️ 高度でカスタマイズ可能なダッシュボードと経営層向けレポート
自動化とワークフロー	❌ 含まれません	✔️ ルールエンジンと自動化ワークフロー
インポートの拡張機能	❌ 標準インポートのみ	✔️ バックグラウンドインポート、スマートアップロード、ユニバーサルパーサー、CLIアップロード
ツール連携	❌ 手動/API駆動	✔️ 主要なAppSecおよびクラウドツール向けの組み込みアップストリームコネクタ
Jira連携	✔️ 含まれます	✔️ 含まれます
プロジェクト管理連携	❌ 含まれません	✔️ Jira、Azure DevOps、GitHub、GitLab、ServiceNow、Bitbucket、Shortcut、PagerDuty、Zendesk、ServiceDesk Plus、Freshserviceへのダウンストリームコネクタ
検出事項の拡張機能	❌ 含まれません	✔️ 自動KEV、EPSSスコアリング、ランサムウェア追跡
SOCとAppSecの統合	❌ AppSecのみに特化	✔️ AppSecとSOCの検出事項を統合
AIと次世代機能	❌ 含まれません	✔️ AI支援ワークフロー、レポート、MCPサポート
サポート	コミュニティサポート(GitHub、Slack、フォーラム)	SLA付きの商用サポート
ホスティングオプション	セルフホスト	セルフホストまたはクラウドホスト

❓ よくある質問

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoの利用に関するよくある質問を、DefectDojo ProとDefectDojo OSの両方について紹介します。

一般的な質問

DefectDojoでセキュリティテストをどのように整理すればよいですか?

DefectDojoはあらゆるセキュリティ環境やテスト環境に対応できますが、各組織のセキュリティチームや運用体制はそれぞれ異なるため、万能な使い方というものはありません。一般的なユースケースについての詳細な記事では、さまざまな組織がRBACとDefectDojoのデータモデルを自社のニーズに合わせてどのように適用しているかの例を紹介しています。

DefectDojoでのセキュリティテストにおける推奨ワークフローは何ですか?

DefectDojoは、組織のセキュリティ体制における中心的な信頼できる情報源となることを目的としており、組織の要件に応じてさまざまなニーズに対応できます。例えば次のようなものです。

ユーザーが複数のスキャンやツールにまたがる重複した検出事項を特定できるようにし、アラート疲れを最小限に抑えます。
脆弱性に対するSLAを適用し、組織が各検出事項を適切な期間内に処理できるようにします。
Jira、ServiceNow、その他のプロジェクト追跡ソフトウェアへチケットを送信し、開発チームが新たなプロジェクト管理ツールを学ぶことなく、課題の修正を通常のリリースプロセスに組み込めるようにします。
自動化されたCI/CDパイプラインに統合し、ブランチレベルに至るまでリポジトリからレポートデータを自動的に取り込みます。
任意の脆弱性群やソフトウェアのコンテキストについてレポートを作成し、スキャン結果やステータスの更新をステークホルダーに迅速に共有します。
受容および緩和のワークフローを確立し、正式なリスク管理の追跡をサポートします。

DefectDojoは、現在のセキュリティワークフローをサポートし標準化するように設計されています。これらの方法はすべて、チームのプロセスを強化し、現在の運用方法に適応させるために利用できます。

DefectDojo Proではどのような機能が利用できますか?

DefectDojo Proは、上記のワークフローをさらに拡張し、以下を追加します。

エンタープライズレベルのデータ量をナビゲートする際の速度と効率のために設計された改善されたUI。ダークモードも含まれます。
優先度とリスクによって検出事項を事前にトリアージする機能により、チームは最も重大な問題を最初に特定して修正できます。
自動化された一括操作をスクリプト化し、検出事項やその他のオブジェクトを処理するカスタムワークフローを構築できるルールエンジン。プログラミング経験は不要です。
アプリやリポジトリのセキュリティ体制を簡単に共有できる強化されたレポートおよびメトリクス生成機能。
DefectDojoが重複した検出事項をどのように特定・管理するかを細かく調整できる高度な重複排除設定。
以下のような、合理化されたインポート機能。
- 検出事項をバックグラウンドで処理する、最適化されたアップロード方法。
- Universal ImporterおよびDefectDojo CLIアプリを使用してコマンドラインパイプラインを素早く構築できる機能。DefectDojo Proインスタンスへのデータのインポート、再インポート、エクスポートを簡単に行えます。
- 任意の.jsonまたは.csvレポートを実用的な検出事項のセットに変換するユニバーサルパーサー。DefectDojo Proが好きな方法でデータを解析します。
- サポート対象ツールへの即時接続を提供し、新しい検出事項データをインポートするコネクタ。API呼び出しやcronジョブを設定することなく、自動化されたインポートパイプラインを構築できます。

DefectDojoはアクセス制御をどのように扱いますか?

DefectDojoは大規模なチームでも利用でき、各チームメンバーに適切なコンテキストを設定し、インフラの特定の部分へのアクセスを制御するために、RBAC(ルールベースアクセス制御)の設定を強くお勧めします。

☑️ 新規ユーザー向けチェックリスト

Mon, 01 Jan 0001 00:00:00 +0000

これは、白紙の状態から完全に機能するアプリになるまで、実装を確実に成功させるためのクイックリファレンスです。この記事は、DefectDojo Community Editionが環境にインストールされ、稼働していることを前提としています。

DefectDojoの本質は、セキュリティデータをインポートし、整理し、それを知る必要がある人々に提示することです。ここでは、DefectDojo Open-Sourceでこれらを実現する方法を紹介します。

DefectDojo Open-Source

Open-Sourceのユーザーは、まず最初のProduct TypeとProductを作成することから始められます。作成後は、UIを使用してそれらのProductのいずれかにファイルをインポートできます。
DefectDojoにデータが入ったので、次にProduct Hierarchy OverviewでProductのレイアウトを拡張することを検討してください。Product Hierarchyはアプリの実用的なインベントリを作成し、データを論理的なカテゴリに分割するのに役立ちます。これらのカテゴリは、アクセス制御ルールの適用や、レポートを適切なチームにセグメント分けするために使用できます。
インポートしたデータを要約するには、Report Builderを使用してください。レポートは、Product Ownerなどのステークホルダーと検出事項を迅速に共有するために使用できます。

これがDefectDojoの本質です - セキュリティデータをインポートし、整理し、それを知る必要がある人々に提示します。

これらの機能はすべて自動化でき、DefectDojoは(本稿執筆時点で)500以上のツールに対応しているため、組織全体のアウトプットに対する実用的なセキュリティインベントリを作成する準備が整っているはずです。

☑️ 新規ユーザー向けチェックリスト

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoの本質は、セキュリティデータをインポートし、整理し、それを知る必要がある人々に提示することです。以下は、白紙の状態から完全に機能するアプリになるまで、実装を確実に成功させるためのクイックリファレンスです。

DefectDojoを知る

まずUIを使用してファイルをインポートすることから始めます。これは通常、データがDefectDojoのモデルにどのように収まるかを確認する最も手っ取り早い方法です。
DefectDojoにデータが入ったので、Product Hierarchy Overviewでその整理方法についてさらに学びましょう。Product Hierarchyはアプリの実用的なインベントリを作成し、データを論理的なカテゴリに分割し、アクセス制御ルールを適用し、Priority and Riskによって検出事項を並べ替えたり、レポートを適切なチームにセグメント分けしたりするのに役立ちます。
主要なステークホルダーと検出事項のレポートを迅速に共有するために使用できるMetrics pagesを確認してください。

これがDefectDojoの本質です - セキュリティデータをインポートし、整理し、それを知る必要がある人々に提示します。

Proの機能

組織がJira、ServiceNow、AzureDevops、GitHub、GitLabのいずれかを課題管理に使用している場合は、それらの連携に関するドキュメントをご覧ください。
フィルタ済みのタイルでmain Dashboardをカスタマイズし、環境を一目で確認できるようにします。
Connectorsを使用して、データを迅速にインポートし、チームの既存のセキュリティ環境をミラーリングする方法を学びましょう。
Global Searchを使用して、インスタンス全体から検出事項、アセット、エンゲージメントを素早く見つけましょう。

🎨 Pro UI変更点

Mon, 01 Jan 0001 00:00:00 +0000

2023年後半、DefectDojo, Inc.はDefectDojo Pro向けの新しいUIをリリースしました。これは現在、このエディションのデフォルトUIとなっています。

Pro UIは、DefectDojoに以下の強化をもたらします。

Vue.jsを使用したモダンで洗練されたデザイン。
特に大規模なデータセットにおける、最適化されたデータ配信と読み込み時間。
アップストリームコネクタ、Universal Importer、Proメトリクスビューなど、新しいPro機能へのアクセス。
改善されたUIワークフロー: より優れたフィルタリング、ダッシュボード、ナビゲーション。

Pro UIへの切り替え

Pro UIにアクセスするには、右上のユーザーオプションメニューを開いてください。同じメニューから、クラシックUIに戻すこともできます。

ナビゲーションの変更

サイドバーは、ダッシュボード、インポート、管理、設定という4つの親カテゴリに再編成されました。
ホームページ、AIを活用したネイティブAPI接続機能、Proメトリクス、カレンダービューは、すべてダッシュボード配下からアクセスできます。
インポート方法はインポートセクションにあります。スキャナーから検出事項を取り込む(アップストリーム)、または課題管理ツールへプッシュする(ダウンストリーム)ためのコネクタを設定したり、検出事項の追加フォームを使用して検出事項を追加したり、スマートアップロードを使用してインフラスキャンツールを処理したり、外部ツールであるUniversal ImporterおよびDefectDojo CLIを使用して検出事項および関連オブジェクトのインポート・再インポートのプロセスを効率化したりできます。

オンラインデモ

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoには2つのオンラインデモが用意されています。どちらもあらかじめデータが読み込まれており、DefectDojoの最新版で完全に動作します。

デモサーバーは毎日リセットされ、一般公開されています。デモに機密データを入力しないでください。

🔸 DefectDojo Proデモ

DefectDojo Proはpro.demo.defectdojo.comでお試しいただけます

admin / 1Defectdojo@demo#appsecでログインしてください。

🔹 DefectDojo Community版デモ

Community版はdemo.defectdojo.orgでお試しいただけます

admin / 1Defectdojo@demo#appsecでログインしてください。