類似の検出事項 (Pro)

重複排除がインポート時に自動的に実行されるのに対し、類似の検出事項はView Findingページ上の手動・対話型のツールです。現在表示している検出事項に似た、同じAsset内の他の検出事項を表示し、手動で重複クラスタにリンクできるようにします。

自動的な重複排除では、本来まとめられるべきだと思われる検出事項がグループ化されなかった場合や、現在の脆弱性に似た他の検出事項がAsset内にないか調べたい場合に使用します。

確認方法#

任意の検出事項を開き、Duplicate & Similar Findingsカードまでスクロールします。このカードには2つのタブがあります。

• Duplicate Findings – この検出事項に既に重複としてリンクされている検出事項(自動生成されたクラスタ)。
• Similar Findings – 現在の検出事項の値と一致するものの、まだそのクラスタに含まれていないAsset内の他の検出事項。

Similar Findingsタブを選択すると、検索が実行されます。

検出事項のマッチング方法#

DefectDojoは、Vulnerability ID(CVE識別子など)、CWE、ファイルパス、行番号、ツールからの一意のIDといった値に基づいて、同じAsset内から現在の検出事項に似た検出事項を検索します。現在表示している検出事項は、常に自分自身の検索結果から除外され、マッチングがAssetをまたぐことはありません。

これは、hash_code(またはUnique ID from tool)を比較してマッチを判定する自動重複排除アルゴリズムとは異なります。Similar Findingsは意図的に広い範囲を対象とすることで、厳密なハッシュマッチングでは見逃してしまうような関連する検出事項を発見できるようにしています。

検索結果の利用#

Similar Findingsタブは、Pro UIの他の場所で使用しているのと同じ操作が可能な、フル機能のデータテーブルです。

• Keyword Searchと列ごとのフィルター(じょうごアイコン)、並べ替えコントロールでリストを絞り込めます。
• saved viewsドロップダウン(Default)と保存アイコンを使うと、フィルターや列のレイアウトを保存して再利用できます。
• 列設定とレイアウトのボタンで、表示する列を制御できます。
• Exportで現在の検索結果をダウンロードでき、Clear Filtersでテーブルをリセットできます。

各行には、マッチした検出事項のID、Severity、Priority、Risk、検出事項名、CWE、CVSSスコア、Vulnerability ID、EPSSデータ、エクスプロイトインテリジェンス(Known Exploited / Ransomware)、ステータス、Assetなどが表示されます。検出事項名をクリックすると開くことができます。

アクション#

行の先頭にある**⋮**ボタン(アクションメニュー)を開くと、このページから直接重複クラスタを管理できます。

• Set As Original Finding – 検出事項をオリジナル(クラスタのルート)に昇格させます。
• Mark As Duplicate – 類似の検出事項を、現在の検出事項の重複クラスタにリンクします。

これらのアクションは、自動重複排除が使用しているのと同じ重複関係を操作します。そのため、ここでリンクした検出事項は、自動的に検出された重複とまったく同じように振る舞います。重複としてマークした検出事項は、その後このカードのDuplicate Findingsタブに表示されます。

アクションは、有効でない場合には利用できないことがあります。例えば、類似の検出事項が既に別のクラスタのオリジナルである場合や、Engagementレベルの重複排除が有効な状態でリンクするとEngagementの境界を越えてしまう場合などです。

Similar Findingsの有効化と無効化#

Similar Findingsは、グローバルなEnable Similar Findingsシステム設定によって制御されており、デフォルトで有効になっています。この検索はAsset全体を対象とするため、大規模なAssetでは負荷が高くなることがあります。View Findingページの表示が遅いと感じる場合は、この設定を無効にすることができます。