DefectDojo ドキュメント on DefectDojo Documentation

コネクタについて

Tue, 14 Jul 2026 00:00:00 +0000

Note: Connectors are a DefectDojo Pro-only feature.

コネクタは、DefectDojo が双方向でやり取りするすべてのツールのための、DefectDojo Pro UI 上の単一のホームです。これは、これまで別々の場所で設定されていた2つの機能を統合したものです。

アップストリームコネクタ(旧称 API Connectors)は、スキャナーやセキュリティツールから検出事項とアセットインベントリを取り込みます。
ダウンストリームコネクタ(旧称 Integrations)は、検出事項を課題管理システムやチケッティングシステムに送信します。

DefectDojo をセキュリティデータのハブと考えると、アップストリームコネクタはデータが到着する経路であり、ダウンストリームコネクタは修復作業が出ていく経路です。

DefectDojoについて

Tue, 02 Feb 2021 20:46:29 +0100

DefectDojo, Inc.およびオープンソースコントリビューターは、DefectDojoのCommunity版とPro版の両方をサポートするために本ドキュメントを管理しています。

DefectDojoとは?

DefectDojoは、Developer Security Operations(DevSecOps)プラットフォームです。DefectDojoは、お使いのセキュリティツール群を自動的に集約することでDevSecOpsを効率化し、セキュリティ業務を簡単に整理して、組織のセキュリティ体制を他のステークホルダーに報告できるようにします。

セキュリティプロセスの自動化と統合された開発パイプラインはDefectDojoの最終目標ですが、このソフトウェアの中核は、多数のセキュリティツールからのレポートを取り込み、整理し、標準化するためのセキュリティ脆弱性向けバグトラッカーです。

DefectDojoは何をするのか?

DefectDojoには、セキュリティツールの結果を強化・調整するためのスマートな機能が備わっており、以下のようなことが可能です。

コンテキストに応じてセキュリティの検出事項を追跡・報告する
コンテキストに応じてSLAを適用する
誤検知、リスク受容、その他のトリアージ判断を処理する
DefectDojoの重複排除アルゴリズムを使用して重複を排除する
外部のプロジェクト追跡ソフトウェアと連携する。
CI/CD連携を使用して、リポジトリや開発ブランチ全体にわたるメトリクス/レポートを提供する。
従来型のペネトレーションテスト管理を調整する。
脆弱性修正手順のSLAを設定・適用する。
セキュリティ脆弱性に対するリスク受容を作成・追跡する。

最終的に、DefectDojoの製品:エンゲージメントモデルにより、開発環境の棚卸しを行い、新しいセキュリティの検出事項を即座にコンテキストの中に位置付けることができます。

機能比較

Tue, 02 Feb 2021 20:46:29 +0100

DefectDojo Open-Sourceは、コアとなるインポート機能、重複排除、基本的なダッシュボード、APIアクセス、必須のレポート機能を備えた、強力で無料の脆弱性管理プラットフォームです。小規模なチームや、コミュニティリソースを使ってツールを自己ホスティングし拡張したい方に最適です。

DefectDojo Proは、その基盤の上に、高度なダッシュボードとレポート、ルールエンジンによる自動化とスクリプティング、多数のセキュリティツールへのコネクタ、最適化されたインポートワークフロー、SOCとAppSecの統合サポート、改善されたUI/UX、AI連携、強化されたセキュリティ(SSO/MFA)、プレミアムサポートオプションなど、エンタープライズ志向の機能を追加しています。

Feature / Capability	DefectDojo Open-Source	DefectDojo Pro
コア脆弱性管理	✔️ 500以上のセキュリティツールから検出事項をインポート、追跡、管理	✔️ Open-Sourceのすべての機能をスケールに最適化
検出事項の重複排除	✔️ 標準の重複排除	✔️ 高度で設定可能な重複排除
REST API	✔️ フルREST API	✔️ フルREST API
認証とアクセス制御	✔️ ローカル認証と基本的なRBAC	✔️ SSO(SAML/OAuth)、MFA、高度なRBAC
ユーザーインターフェース	✔️ Community UI	✔️ パフォーマンスが改善されたモダンなPro UI
ダッシュボードとレポート	✔️ 基本的なダッシュボードとレポート	✔️ 高度でカスタマイズ可能なダッシュボードと経営層向けレポート
自動化とワークフロー	❌ 含まれません	✔️ ルールエンジンと自動化ワークフロー
インポートの拡張機能	❌ 標準インポートのみ	✔️ バックグラウンドインポート、スマートアップロード、ユニバーサルパーサー、CLIアップロード
ツール連携	❌ 手動/API駆動	✔️ 主要なAppSecおよびクラウドツール向けの組み込みアップストリームコネクタ
Jira連携	✔️ 含まれます	✔️ 含まれます
プロジェクト管理連携	❌ 含まれません	✔️ Jira、Azure DevOps、GitHub、GitLab、ServiceNow、Bitbucket、Shortcut、PagerDuty、Zendesk、ServiceDesk Plus、Freshserviceへのダウンストリームコネクタ
検出事項の拡張機能	❌ 含まれません	✔️ 自動KEV、EPSSスコアリング、ランサムウェア追跡
SOCとAppSecの統合	❌ AppSecのみに特化	✔️ AppSecとSOCの検出事項を統合
AIと次世代機能	❌ 含まれません	✔️ AI支援ワークフロー、レポート、MCPサポート
サポート	コミュニティサポート(GitHub、Slack、フォーラム)	SLA付きの商用サポート
ホスティングオプション	セルフホスト	セルフホストまたはクラウドホスト

🌐 ユニバーサルパーサー

Mon, 01 Jan 0001 00:00:00 +0000

注: ユニバーサルパーサーはDefectDojo Proでのみご利用いただけます。

ユニバーサルパーサーはすべてのDefectDojo Proインスタンスで有効になっており、特に有効化の操作は必要ありません。詳細については発表プレゼンテーションをご覧ください。

ユニバーサルパーサーについて

DefectDojoには、セキュリティチームがデータを取り込む際に役立つ、定期的に更新される豊富なパーサーライブラリがあります。しかし、ユーザーが使用しているツールがパーサーでサポートされていなかったり、パーサーとは異なる方法でDefectDojoモデルにデータをインポートしたいと考えたりする場合があります。

DefectDojoのユニバーサルパーサーは、サポートされていないレポート形式を使用しているユーザーに、あらゆるJSON、CSV、またはXMLファイルをインポートしてマッピングするための手段を提供するものです。

ユニバーサルパーサーとは:

内部ツールが生成するレポートなど、コミュニティパーサーが存在しないファイル形式を迅速にサポートする手段
コミュニティパーサーが古い場合や、希望する形式で検出事項を構造化しない場合でも、データの取り込みを支援するツール
ツールのレポートを「Generic Findings Import」スキャンタイプが想定するCSV/JSON形式に変換するためのカスタムスクリプトに代わる手段
コーディング不要、最小限の設定で誰でも簡単に使えるよう設計されたもの

ユニバーサルパーサーではないもの:

オープンソースパーサー、コネクタ、または入念に調整された「Generic Findings Import」レポートの包括的な代替手段
検出事項を構造化するための、微妙な分岐ロジックを扱える機能

ユニバーサルパーサーの設定はPro UIでのみ利用可能ですが、旧UIまたはAPI経由であれば、既存のユニバーサルパーサーを使ってスキャンをインポートすることは可能です。

Authorization Connectors

Mon, 01 Jan 0001 00:00:00 +0000

Authorization Connectorsは、DefectDojo Proが対応するすべてのIDプロバイダーと、それぞれの状態、使用しているプロトコルを1つのページにまとめて表示します。これが存在する前は、各プロバイダーはそれぞれ独自の設定フォームに存在しており、すべてを開かない限り「このインスタンスで何が設定されているか」に答える方法がありませんでした。

Authorization ConnectorsはDefectDojo Proの機能です。Connect > Authorizationにあります。IDプロバイダーの設定を表示・変更できるのはスーパーユーザーのみです。

How the page is organised

プロバイダーは2つのセクションに分かれており、それぞれ見出しの横に件数が表示され、アルファベット順に並んでいます。

Configured Providers(設定済みプロバイダー) — 現在オンになっているかどうかにかかわらず、このインスタンスで設定済みのプロバイダー
Available Providers(利用可能なプロバイダー) — サポートされているが、まだ設定されていないプロバイダー

この区分はあえてenabled(有効)ではなくconfigured(設定済み)を基準にしています。設定した後にオフに切り替えられたプロバイダーはConfigured Providersに残ります。設定した本人がそこを探すはずだからです。状態はタイル上に表示されます。

Cloud Managerの使用

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoのCloud Managerにログインすると、アカウント設定を構成し、DefectDojo Cloudのサブスクリプションを管理できます。

新規サブスクリプション

https://cloud.defectdojo.com/accounts/onboarding/step_1

このページでは、DefectDojoに新規、または追加のCloudインスタンスをリクエストできます。

サブスクリプションの管理

https://cloud.defectdojo.com/accounts/manage_subscriptions

Subscription Managementページには、現在アクティブなすべてのCloudインスタンスが表示され、各インスタンスのFirewall設定を構成できます。

Firewall設定の変更

Edit Subscriptionページで、追加したいルールのIP Address、Mask、Labelを入力します。複数のFirewallルールが必要な場合は、Add New Rangeをクリックして新しい空のルールを作成します。

ここでは、外部サービス(GitHub & Jira Cloud)にファイアウォールを開放することもできます。また、希望する場合はメニューからProceed Without Firewallを選択して、ファイアウォールを完全に無効化することもできます。

CVSSバージョンのサポート

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoは、CVSS 4.0規格を含め、検出事項に対するCVSSメタデータをサポートしています。このページでは、どのCVSSバージョンがエンドツーエンドで保存されるか、どこで入力・閲覧できるか、そしてパーサー側のカバレッジについて何を期待すべきかを説明します。

DefectDojoが保存する内容

検出事項は以下のCVSSデータを保持できます。

バージョン	ベクター保存	スコア保存	UIベクタービルダーと計算機
CVSS v4.0	✅	✅	✅ (Pro UI)
CVSS v3 (v3.0 / v3.1)	✅	✅	✅ (Pro UI)
CVSS v2	検出事項の深刻度フィールドを通じて暗黙的に保存され、個別のv2ベクターフィールドは保存されません	N/A	N/A

各検出事項には、基盤となるモデル上に専用のcvssv3/cvssv3_scoreおよびcvssv4/ cvssv4_scoreフィールドがあります。これらはUIだけでなくAPI経由でもアクセスできます。

DefectDojo メインダッシュボード

Mon, 01 Jan 0001 00:00:00 +0000

ダッシュボードは、DefectDojo を開いたときに最初に表示されるページであることが多いです。チームのパフォーマンスを要約し、脆弱性トラッキング環境の特定領域を監視するための追跡ツールを提供します。

💡 DefectDojo Pro: DefectDojo Pro では、ホームページは完全にカスタマイズ可能なダッシュボードです。以下で説明する固定レイアウトを使用する代わりに、ウィジェットからダッシュボードを組み立て、自分で配置できます。概念と UI の操作方法については カスタマイズ可能なダッシュボード を参照してください。このページの残りの部分では、オープンソース版のメインダッシュボードについて説明します。

ダッシュボードの構成要素

オープンソース版ダッシュボードでは、以下の組み込みコンポーネントによってセキュリティ体制の概要を把握できます。

サマリーカード

ダッシュボードの最上部の行には、アクティビティを一目で確認できる4つのサマリーカードが表示されます。

アクティブなエンゲージメント — すべての製品にわたる、現在オープン中のエンゲージメントの合計数。
過去7日間の検出事項 — 過去1週間に作成された新しい検出事項。
過去7日間にクローズ — 最近解決された検出事項。
過去7日間に受容 — 最近リスク受容された検出事項。

各カードは該当するフィルタ済みリストに直接リンクしているため、ワンクリックで詳細を確認できます。

Downstream Connectors

Mon, 01 Jan 0001 00:00:00 +0000

提供状況: ダウンストリームコネクタは一般提供されており、Cloud・On-Premiseを問わずすべてのDefectDojo Proインスタンスで有効になっています。有効化の操作は不要で、Feature Flagsページにも表示されなくなりました。

ダウンストリームコネクタを使うと、検出事項や検出事項グループをチケット管理システムにプッシュし、セキュリティ対応をチームの既存の開発ワークフローに簡単に組み込むことができます。

サポートされているダウンストリームコネクタ:

Azure Devops
Bitbucket
Freshservice
GitHub
GitLab Boards
Jira
Linear
Opsgenie
PagerDuty
ServiceDesk Plus
ServiceNow
ServiceNow SecOps / Vulnerability Response
Shortcut
Zendesk

ダウンストリームコネクタページを開く

ダウンストリームコネクタページは、サイドバーの Import > Connectors > Downstream Connectors から見つけることができます。

Jira(レガシー)

Mon, 01 Jan 0001 00:00:00 +0000

このページはレガシーな Jira 連携について説明しています。 ここで説明している製品単位の Jira 連携は、Jira ダウンストリームコネクタ に置き換えられました。このコネクタはすべての DefectDojo Pro インスタンスで一般提供されており、検出事項を Jira にプッシュする際の推奨方法です。Pro のサイドバーでは、この理由から Connect > Jira に LEGACY バッジが表示されます — 詳細はメニューバッジを参照してください。