類似の検出事項 (Open Source)
重複排除がインポート時に自動的に実行されるのに対し、類似の検出事項は検出事項の表示ページにある手動・対話型のツールです。現在見ている検出事項に似た、同じアセット内の他の検出事項を表示し、それらを手動で重複クラスターにリンクできるようにします。
自動的な重複排除では、本来まとめられるべきだと思う検出事項がグループ化されなかった場合や、アセット内に現在の脆弱性と似たものが他にないかを調べたい場合に使用します。
使用場所
任意の検出事項を開き、その検出事項の表示ページに移動します。下にスクロールして類似の検出事項パネルを表示します。見出しに表示されている数字は、現在の検出事項の値と一致するアセット内の検出事項の件数です。
このパネルはデフォルトで折りたたまれています。パネルの見出し(または右側のシェブロン/フィルターボタン)をクリックすると展開され、クエリが実行されます。
検出事項の照合方法
パネルを開くと、DefectDojoは現在の検出事項の値をあらかじめフィルターに入力し、同じアセット内で一致する他の検出事項を検索します。照合の初期値として使用されるフィールドは次のとおりです。
- 脆弱性ID(例: CVE識別子)
- CWE
- ファイルパス
- 行番号
- Unique ID from tool
- テストタイプ
- アセット(およびアセットタイプ)
現在の検出事項は、常にそれ自身の結果から除外されます。照合の範囲はアセット単位であるため、類似の検出事項がアセットをまたいで結果を返すことはありません。いずれかのエンゲージメントでエンゲージメントレベルの重複排除が有効になっている場合、エンゲージメントの境界をまたぐ一致はリンクできません(下記のアクションを参照してください)。
これは、hash_code(またはUnique ID from tool)を比較して一致を判定する自動重複排除アルゴリズムとは異なります。類似の検出事項は意図的に広い範囲を対象とすることで、厳密なハッシュ照合では見逃してしまう関連の検出事項を発見できるようにしています。
照合結果の絞り込み
初期値として設定される値はあくまで出発点です。セクション上部のフィルターパネルを使うと、照合をより厳密にしたり緩めたりできます。フィールドを削除すれば結果を広げられ、条件(深刻度、ステータス、エンドポイント、日付、EPSSなど)を追加すれば結果を絞り込めます。
- フィルターをクリアは、すべてのフィールドを空にして、クエリを最初から作成できるようにします。
- リスタートは、現在の検出事項の値に基づくデフォルトの照合結果に戻します。
結果の見方
一致した各検出事項は表に一覧表示されます。関係列は、その検出事項が現在表示している検出事項とどのような関係にあるかを示します。
- オリジナル – 現在の検出事項の重複クラスターにおける、元となる検出事項
- 重複 – すでに現在の検出事項の重複としてマークされている検出事項
- 類似 – まだ現在の検出事項のクラスターに含まれていない一致結果
この表には、深刻度、タイトル、日付、ステータス、テスト、エンゲージメント、CWE、脆弱性ID、EPSSスコア、ファイル(行番号付き)、および(JIRA連携が有効な場合は)JIRAも表示されます。すべての列は並べ替え可能で、結果はエクスポートできます(コピー、Excel、CSV、PDF)。
アクション
検出事項に対する編集権限がある場合、アクション列のドロップダウンから、このページで直接重複クラスターを管理できます。
- 重複としてマーク – 類似の検出事項を、現在の検出事項の重複クラスターにリンクします。
- オリジナルとして設定 – 検出事項をオリジナル(クラスターの起点)に昇格させます。
- 検出事項の重複ステータスをリセット – 検出事項をクラスターから除外します。
アクションが有効でない場合、そのアクションは利用できず(なしと表示されます)、例えば類似の検出事項が別のエンゲージメントに属していてエンゲージメントレベルの重複排除が有効な場合や、その検出事項がすでに別のクラスターのオリジナルである場合などが該当します。これらのアクションは、自動重複排除が使用するのと同じ重複関係を操作するため、ここでマークした検出事項は自動検出された重複とまったく同じように動作します。
類似の検出事項の有効化と無効化
類似の検出事項は、グローバルなシステム設定によって制御されます。Configuration > System Settingsに移動し、Enable Similar Findingsを切り替えます。デフォルトで有効になっています。
このクエリはアセット全体を対象とするため、大規模なアセットでは負荷が高くなることがあります。検出事項の表示ページの動作が遅いと感じた場合は、ここでこの機能を無効化するか、DD_SIMILAR_FINDINGS_MAX_RESULTS環境変数(デフォルト25)で返される結果数を制限してください。