Pro メトリクス on DefectDojo Documentation

Pro メトリクス概要

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro の UI には、現在のセキュリティ体制を可視化するためのさまざまなメトリクスダッシュボードが用意されています。各ダッシュボードにより、組織内のさまざまな階層の関係者が、生データを解釈したり個々の検出事項を確認したりすることなく、的確な意思決定を行えるようになります。これらのダッシュボードには次のものが含まれます。

メトリクス機能

各ダッシュボードの詳細を説明する前に、すべてのダッシュボードに共通する、確認しておく価値のある点をいくつか紹介します。

フィルタリング

すべてのメトリクスは、期間、組織、アセット、タグでフィルタリングできます。フィルタを希望どおりに調整した後、それを有効にするには「フィルタを適用」をクリックする必要があります。現在のフィルタ条件でダッシュボード上のすべてのチャート、テーブル、グラフを PDF としてエクスポートしたい場合は、「PDF としてエクスポート」をクリックしてください。

フィルタリングの期間は過去1年までに限定されていますが、それ以外にも過去7日、14日、30日、90日、180日の範囲に調整できます。

フィルタパラメータは URL に反映されるため、さまざまなフィルタパラメータを持つ複数のページをブックマークできます。これは、素早く参照したい場合や、特定の種類のレポートを継続的に生成したい場合に役立ちます。

Executive Insights

Mon, 01 Jan 0001 00:00:00 +0000

Executive Insightsメトリクスページでは、組織全体にわたるアプリケーションセキュリティリスクの集約ビューが提供されます。経営層向けに設計されているため、このダッシュボードは個々の検出事項ではなく、組織とアセットに焦点を絞り、傾向と成果を重視します。

Executive Insights内では、ユーザーはフィルターリストから期間、組織、アセット、またはタグを選択でき、これにより隣接するテーブルに該当する検出事項が表示されます。また、以下のさまざまなチャートやグラフの結果も変化します。

フィルターが選択されていない場合、テーブルにはすべての組織、アセット、タグのステータスが表示されます。

最初のテーブルは、全体的なセキュリティ姿勢の俯瞰的なビューを提供します。組織とアセットそれぞれについても、別々のテーブルが用意されています。

各テーブル内の数値は、適用されたフィルターに応じて表示されます。セル内のハイパーリンクされた数値をクリックすると、対応する検出事項テーブルが別のタブで開きます。

ツールインサイト

Mon, 01 Jan 0001 00:00:00 +0000

ツールインサイト は、DefectDojo で使用されている各セキュリティツールが報告する検出事項の件数と深刻度に基づいてそのパフォーマンスを追跡し、ツール同士の相対的な有効性を経時的に評価できるようにします。

具体的には、「ツール別深刻度(検出事項の多い上位10件)」モーダルでは、各ツールが検出した検出事項の深刻度を比較するレーダーチャートが表示されます。

「ツール別深刻度(月次)」では、特定のスキャンタイプが特定の日付に検出した検出事項の合計数で並べたテーブルも表示されます。このテーブルの各列も、クリックすることで昇順または降順の表示に切り替えられます。

プログラムインサイト

Mon, 01 Jan 0001 00:00:00 +0000

プログラムインサイト メトリクスページでは、個々の検出事項ではなくプログラム全体のパフォーマンスに焦点を当て、アプリケーションセキュリティプログラム全体の有効性と成熟度を評価します。

テスト実施状況の内訳に加え、重複排除機能や再インポート機能がノイズ削減、効率向上、累積的なコスト削減にどのように影響しているかを示し、セキュリティプロセスが意図したとおりに機能していることを確認できます。

改善インサイト

Mon, 01 Jan 0001 00:00:00 +0000

改善インサイト ダッシュボードは、クローズ実績と改善の説明責任に焦点を当て、SLA 遵守状況、期限超過の検出事項、リスク受容の推移をチャートで示します。検出事項の悪用可能性の判定には EPSS スコアを使用しており、この元となるデータベースは DefectDojo Pro が毎日更新し、各検出事項に適用しています。

優先度インサイトと同様に、改善インサイトにもクリック可能な4つのモーダルが含まれており、それぞれがそのモーダルが表す全データのテーブルを別タブで開きます。

オープン検出事項の合計数
重大および高のオープン検出事項
SLA 内で緩和済みの検出事項
悪用可能性の高い検出事項

優先度インサイト

Mon, 01 Jan 0001 00:00:00 +0000

優先度インサイト メトリクスページには、リスク、深刻度、悪用可能性、またはカスタムスコアリングによって判定された最も重大な検出事項が表示され、どの脆弱性がその時点で最大の脅威となっているかをチームが把握し、対応の優先順位を適切に決められるようにします。

さまざまなチャートやグラフに加えて、優先度インサイトにはクリック可能な4つのモーダルが含まれており、それぞれがそのモーダルが表す全データのテーブルを別タブで開きます。

緊急リスク検出事項の合計数
対応が必要なリスク検出事項の合計数
中リスク検出事項の合計数
検出事項の平均優先度

さらに、AppSec または SOC のいずれかで並べ替えられた優先度付き検出事項の統合テーブルも含まれており、ユーザーはこれをさらにフィルタリングしたり操作したりして、個々の検出事項に関連するデータを表示できます。内容は CSV ファイルまたはクイックレポートとしてエクスポートでき、エクスポート前にさまざまな列を追加することもできます。