データのインポート on DefectDojo Documentation

スキャンインポートフォーム

Mon, 01 Jan 0001 00:00:00 +0000

製品階層に少なくとも1つの製品タイプ、製品、テスト、エンゲージメントが設定されていれば、DefectDojoにスキャンファイルをインポートして検出事項を作成できます。

DefectDojoでは製品階層を簡単に再編成できるため、まだ設定方法がよくわからなくても問題ありません。

今のところ、エンゲージメントは複数のツールからのデータを保存できるということを知っておくとよいでしょう。これは、単一のテスト活動の一環として複数のツールを同時に実行している場合に役立ちます。

スキャンインポートフォームへのアクセス(クラシックUI / オープンソース)

DefectDojo OSでは、このフォームには次の2か所からアクセスできます。

エンゲージメントの「テスト」セクション:
製品のナビゲーションバーにある「検出事項」セクション:

スキャンインポートフォームの入力

スキャンインポートフォームは、エンゲージメントの配下に新しいテストを作成し、そのテストにはスキャンファイルに含まれる各脆弱性に対応する固有の検出事項が含まれます。

テストは、スキャンタイプに一致する名前で作成されます。例えば、Tenableのスキャンは「Tenable Scan」という名前になります。

フォームオプション

スキャンファイル: 「Choose」ボタンをクリックすると、コンピューター上のファイルを選択してアップロードできます。
スキャン日(任意): このインポートで作成されるすべての検出事項に単一のスキャン日を適用したい場合は、このフィールドで日付を選択できます。スキャン日を選択しない場合、このレポートから作成される検出事項にはツールが指定した日付が使用されます。各検出事項のSLAはその日付に基づいて計算されます。
スキャンタイプ: このデータの作成に使用したツールを選択します。
環境: アップロードするデータに対応する環境を選択します。
タグ: テストデータをさらに整理するためにタグを使用したい場合は、このフォームからタグを追加できます。作成したいタグの名前を入力し、キーボードのEnterキーを押すとタグの一覧に追加されます。

任意フィールド

最小深刻度: 特定の深刻度レベル以上の検出事項のみを作成したい場合は、ここで最小深刻度レベルを選択できます。このフィールドより深刻度が低い脆弱性はすべて無視されます。
アクティブ: 受信するすべての検出事項をアクティブまたは非アクティブのいずれかに設定したい場合は、ここで指定できます。指定しない場合、DefectDojoはツールの脆弱性データを使用して、検出事項がアクティブか非アクティブかを判断します。このオプションは、特定のツールからの検出事項をチームが手動でトリアージ・検証する必要がある場合に関係します。
検証済み: アクティブと同様に、新しい検出事項のセットをデフォルトで検証済みまたは未検証に設定できます。これはワークフローの好みによります。例えば、チームが証明されない限り検出事項は検証済みであるとみなすことを好む場合、このフィールドをTrueに設定できます。
テストにこれらの詳細を含めたい場合は、バージョン、ブランチタグ、コミットハッシュ、ビルドID、サービスをすべて指定できます。
ソースコード管理URIも指定できます。このフォームオプションには有効なURIを指定する必要があります。
グループ化: このファイルから検出事項グループを作成したい場合は、ここでグループ化方法を指定できます。

トリアージ情報のないスキャナー: 「Do Not Reactivate」フィールド

一部のスキャナー(例: tfsec)は、レポートにトリアージ情報を含めない場合があります。これらのスキャナーは、脆弱性が既にトリアージされているかどうかにかかわらず、コードや依存関係をスキャンして問題にフラグを立て、すべてを返すだけです。

検出事項の追加フォーム

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo の新規インスタンスをお使いの場合、Import Scan Form はソフトウェアを学び、環境をセットアップするための理にかなった最初のステップです。このフォームから、サポートされているツールのスキャンファイルをアップロードすると、それらの脆弱性を表す検出事項が作成されます。フォームの入力中に、以下のどちらにするかを決めることができます。

これらの検出事項を既存の製品タイプ / 製品 / エンゲージメントの下に保存する または
これらの検出事項を保存するために新しい製品タイプ / 製品 / エンゲージメントを作成する

DefectDojo では製品階層を簡単に再編成できるため、まだセットアップ方法がわからなくても心配ありません。

さしあたり、エンゲージメントは複数のツールからのデータを保存できることを知っておくとよいでしょう。これは、単一のテスト作業の一環として複数のツールを同時に実行している場合に便利です。

Import Scan Form へのアクセス方法(Pro UI)

Import Scan フォームには複数の場所からアクセスできます。

エンドポイントメタインポーター

Mon, 01 Jan 0001 00:00:00 +0000

エンドポイントメタインポーターを使用すると、CSV ファイルを使って大量のエンドポイントに一度にタグやカスタムフィールドを適用できます。これは、フィルタリング、ソート、レポート作成のために柔軟なメタデータをエンドポイントに必要とする、負荷の高いインフラストラクチャスキャンを実行している組織に特に役立ちます。

CSV 形式

CSV ファイルには hostname 列(必須)に加えて、適用したいタグやカスタムフィールドを表す任意の数の追加列が必要です。追加された各列名がタグ/フィールドのキーとなり、その行の値がタグ/フィールドの値になります。

例:

hostname,team,public_facing
sheets.google.com,data analytics,yes
docs.google.com,language processing,yes
feedback.internal.google.com,human resources,no

これにより、以下のメタデータが適用されます。

Endpoint	Tags / Custom Fields
`sheets.google.com`	`team:data analytics`, `public_facing:yes`
`docs.google.com`	`team:language processing`, `public_facing:yes`
`feedback.internal.google.com`	`team:human resources`, `public_facing:no`

要件

hostname 列は必須です。この列は、ホストが一致する既存のエンドポイントを検索したり、一致するものがない場合に新しいエンドポイントを作成したりするために使用されます。
それ以外のすべての列名は、タグ/カスタムフィールドのキーとして扱われます。
値は key:value 形式で保存されます。

エンドポイントメタインポーターの使用

エンドポイントメタインポーターは、製品を表示しているときの Endpoints タブから利用できます。そこに CSV ファイルをアップロードすることで、エンドポイントにメタデータを一括適用できます。

Mon, 01 Jan 0001 00:00:00 +0000

API からのインポート

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo の API は、新しいスキャンをインスタンスに自動的に取り込む堅牢なパイプラインソリューションを可能にします。このような自動化にはいくつかの形態があります。

環境を日次でスキャンし、そのスキャン結果を DefectDojo にインポートする日次インポート(当社のコネクター機能に似ています)
デプロイ時に新しいコードをスキャンし、その結果をトリガーされたアクションとして DefectDojo にインポートする CI/CD パイプライン

これらのパイプラインは、当社の Import Scan Form に近い方法で、スキャンファイルを添付して API の /reimport エンドポイントを直接呼び出すことによって作成できます。