用語集

以下は、DefectDojoのさまざまな機能を理解するためのシンプルな用語集です。各機能がDefectDojo Pro版、OS版、または両方のどちらに存在・適用されるかも示しています。

製品階層（両方）#

DefectDojo内でセキュリティデータを整理するために使用される構造モデルで、組織 → アセット → エンゲージメント → テスト → 検出事項で構成されます。

組織（両方）#

DefectDojo Proにおいて、アセットの親オブジェクトとなる最上位の階層オブジェクトです。すべての子アセットにわたるガバナンス、アクセス制御、レポーティングのための共有コンテキストを提供します。

アセット（両方）#

組織内でデプロイ可能な、または論理的なシステムエンティティ（アプリケーション、ホスト、環境など）を表すファーストクラスのオブジェクトです。Pro版ではアセットが親子関係やより豊富なビジネスメタデータをサポートしますが、OS版では親子関係をサポートしません。

アセット階層（Pro）#

アセット間の親子関係モデルであり、コンテキストの継承と検出事項の集約を可能にします。

エンゲージメント（両方）#

テスト期間、パイプライン、または評価コンテキストを表す、範囲が定められたセキュリティ活動です。

テスト（両方）#

エンゲージメント内でのスキャナーまたは手動評価の単一の実行です。テストは実行メタデータを保存し、検出事項の取り込みポイントとして機能します。

サービス（両方）#

アセット内の特定のコンポーネントまたはインターフェースに検出事項を帰属させるために使用される、任意のサブオブジェクトです。サービスは、Pro版ではその機能がアセット階層によって再現・強化されるため、OS版のDefectDojoで最も有用です。

コンポーネント（両方）#

DefectDojo Proで追跡される、サードパーティライブラリ、ソフトウェアモジュール、または外部依存関係です。インポートされたコンポーネントはスキャンデータから導出され、検出事項に関連付けられます。Pro UIでは、コンポーネントテーブルはコンポーネントごとにアクティブ、重複、検出事項の合計数を集計し、関連するすべての検出事項が緩和済みになった場合でもデータが残ります。

検出事項（両方）#

個別のセキュリティ問題を表す、DefectDojoの製品階層における最も粒度の細かい脆弱性オブジェクトです。

検出事項ステータス（両方）#

検出事項の現在のライフサイクル状態です（例：アクティブ、検証済み、非アクティブ/緩和済み、レビュー中、リスク受容済み、誤検知、対象外）。検出事項ステータスは、メトリクスやダッシュボードへの含有を決定します。

検出事項の優先度/リスク（Pro）#

深刻度と、アセットの重要度や悪用可能性といったコンテキスト要因を組み合わせることで、修正の緊急性を表す、算出または導出された値です。優先度は生の深刻度とは異なり、リスクベースの意思決定に使用されます。

検出事項グループ（両方）#

組織、アセット、またはツールをまたいで関連する検出事項をグループ化する仕組みです。検出事項グループにより、統合的な分析とより高いレベルのレポーティングが可能になります。

エンドポイント（両方）#

検出事項に関連付けられた、ネットワーク到達可能な場所（URL、IP、ポート）です。エンドポイントは技術的な悪用のコンテキストを提供します。

インポート（両方）#

通常はファイルのアップロードまたはAPI経由でのデータ送信によって、スキャン結果や手動の検出事項をDefectDojoに取り込むプロセスです。インポート中、DefectDojoは検出事項を解析、正規化、重複排除し、適切なアセット、エンゲージメント、テスト、および関連オブジェクトに関連付けます。

再インポート（両方）#

既存のテストに新しいスキャン結果を取り込む操作です。再インポートでは、新しいデータにおける有無に基づいて検出事項の状態が更新されます。

重複排除（両方）#

ハッシュとマッチングロジックを使用して、新しく取り込まれた検出事項を既存のものと関連付けるプロセスであり、スキャン実行をまたいだ履歴的な追跡を可能にします。

誤検知（両方）#

問題が無効である、または悪用不可能であることを示す検出事項の状態です。誤検知は監査のために保持されますが、リスク計算からは除外されます。

リスク受容（両方）#

確認済みだが未解決の検出事項を示すワークフロー状態です。受容されたリスクは引き続き表示されますが、SLAの適用からは除外されます。

メタデータ（両方）#

ブランチ名やビルドIDなど、テストや検出事項に付加される重要なデータであり、一般的にCI/CDパイプライン経由で提供されます。

CI/CD統合（両方）#

ビルドまたはデプロイのワークフロー中に行われる、スキャン結果の自動取り込みです。統合は通常、APIとインポーターフレームワークに依存します。

API（両方）#

DefectDojoのオブジェクトをプログラムで管理するために使用されるRESTfulインターフェースです。APIは、自動化とパイプライン統合の主要な仕組みです。

Webhook（Pro）#

特定のイベント（検出事項の作成など）によってトリガーされる、アウトバウンドのHTTPコールバックです。Webhookにより、外部システムとのリアルタイムな連携が可能になります。

SLA設定（Pro）#

深刻度やリスク属性に基づいて修正期限を割り当てるポリシー定義です。SLAにより、適用状況とパフォーマンスの測定が可能になります。

ユーザーロール（両方）#

DefectDojo内で許可される操作を定義する権限セットです。ロールは、アセットとエンゲージメントをまたいだアクセス制御を適用します。

Universal Importer（Pro）#

ツール固有のインポーターを使用せずにスキャンデータをインポートできる、柔軟な取り込みの仕組みです。事前定義されたスキャナースキーマではなく、正規化されたフィールドマッピングに依存します。

DefectDojo-CLI（Pro）#

DefectDojoとプログラムで対話するために使用されるコマンドラインインターフェースです。CLIは、スキャンのアップロードやオブジェクト管理を自動化するために、CI/CDパイプラインでよく使用されます。

コネクタ（Pro）#

DefectDojoが連携するすべてのツールのための、Pro UI（インポート配下）内の統合されたエリアです。アップストリームコネクタはスキャナーから検出事項を取り込み、ダウンストリームコネクタは検出事項を課題管理ツールへ送信します。

アップストリームコネクタ / APIコネクタ（Pro）#

外部のスキャナーやセキュリティツールから、そのAPI経由で検出事項とアセットインベントリをDefectDojoに取り込む、事前構築済みの管理型コネクタであり、カスタムスクリプトの必要性を減らします。以前はAPIコネクタと呼ばれていました。

ダウンストリームコネクタ（Pro）#

検出事項および検出事項グループをDefectDojoから課題管理およびチケット管理システム（Jira、Azure DevOps、GitHubなど）へ送信する、管理型の統合です。以前はインテグレーションと呼ばれていました。

Universal Parser（Pro）#

Universal Importerが取り込まれるスキャンデータを解釈するために使用する、汎用的な解析エンジンです。サポート対象外の形式に対しても、一貫した正規化と重複排除のロジックを適用します。

Smart Upload（Pro）#

スキャン結果をアセットやエンゲージメントにどのようにマッピングするかを自動的に判断する、インテリジェントな取り込みワークフローであり、インポート時の手動設定を減らします。

Executive Insights（Pro）#

個々の検出事項ではなく、傾向、エクスポージャー、プログラムの健全性に焦点を当てた、経営層向けに設計された高レベルでビジネス志向の分析です。

Priority Insights（Pro）#

深刻度だけでなく優先度スコアリングに基づいて最も重要なリスクを可視化する分析ビューであり、リスクベースの修正計画をサポートします。

Program Insights（Pro）#

時間の経過に伴うセキュリティプログラムの有効性と成熟度を評価するメトリクスと可視化です。Program Insightsは、傾向、カバレッジ、運用パフォーマンスを重視します。

Tool Insights（Pro）#

スキャナーのパフォーマンス、カバレッジ、検出事項への貢献度に焦点を当てた分析であり、チームがツールの使用を最適化しノイズを削減するのに役立ちます。

Rules Engine（Pro）#

取り込みやライフサイクルイベントの際に検出事項へ条件付きロジックを適用する、ポリシー駆動の自動化システムであり、深刻度の変更、割り当て、ワークフローを自動化します。

インテグレーション（両方）#

データの取り込み、通知、ワークフローの自動化のために、DefectDojoと外部ツールやプラットフォームとの間で確立される接続です。Pro版には、基本的なインポーターやAPI利用を超えた、より高度で管理された統合が含まれます。