スコアリングと優先順位付け on DefectDojo Documentation

CVSSバージョンのサポート

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoは、CVSS 4.0規格を含め、検出事項に対するCVSSメタデータをサポートしています。このページでは、どのCVSSバージョンがエンドツーエンドで保存されるか、どこで入力・閲覧できるか、そしてパーサー側のカバレッジについて何を期待すべきかを説明します。

DefectDojoが保存する内容

検出事項は以下のCVSSデータを保持できます。

バージョン	ベクター保存	スコア保存	UIベクタービルダーと計算機
CVSS v4.0	✅	✅	✅ (Pro UI)
CVSS v3 (v3.0 / v3.1)	✅	✅	✅ (Pro UI)
CVSS v2	検出事項の深刻度フィールドを通じて暗黙的に保存され、個別のv2ベクターフィールドは保存されません	N/A	N/A

各検出事項には、基盤となるモデル上に専用のcvssv3/cvssv3_scoreおよびcvssv4/ cvssv4_scoreフィールドがあります。これらはUIだけでなくAPI経由でもアクセスできます。

EPSS / KEV

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro は、2つの外部脅威インテリジェンスソースである EPSS と CISA KEV を使用して検出事項を自動的に強化し、優先順位付けが脆弱性のCVSS深刻度だけでなく、実際に悪用される可能性を反映するようにします。どちらのソースも CVE によって検出事項と照合され、毎日のスケジュールで更新され、各検出事項の算出される**優先度(priority)**スコアに直接反映されます。

強化データは脆弱性ごとに一度だけ保存され、それを参照するすべての検出事項に適用されます。つまり、1万件の検出事項に出現するCVEも一度だけ照会すればよく、そのEPSSとKEVの値は検出事項ごとにではなく、脆弱性エクスプローラーで直接確認できます。

DefectDojo Cloud では、強化処理は完全にマネージドです。DefectDojo が基盤となる脅威インテリジェンスデータを維持し、お客様のインスタンスに配信します。インストールする必要はなく、フィードURLを設定する必要もなく、毎日のジョブをスケジュールする必要もありません。すべて自動的に実行されます。

2つのソース

EPSS — Exploit Prediction Scoring System(悪用予測スコアリングシステム)

EPSS は、FIRST が公開しているデータドリブンなモデルで、特定のCVEが今後30日以内に実際に悪用される確率を推定します。DefectDojo Pro は、一致する各検出事項に2つのEPSS値を保存します。

到達可能性(Reachability)

Mon, 01 Jan 0001 00:00:00 +0000

アプリケーションが決して呼び出さないコード内のCritical CVEは、実際のリクエストパス上にある同じCVEと同じリスクではありません。到達可能性(Reachability)はこの違いを捉える機能です。DefectDojo Pro は各検出事項の脆弱なコードが実際に到達可能かどうかを記録し、その結論がどこから来たのかを示し、それを検出事項の算出される優先度に反映します。

到達可能性はベータ機能で、デフォルトでは無効です。スーパーユーザーが設定 > 機能フラグで有効化します。無効になっている間は判定は記録されず、優先度にも影響せず、到達可能性のUIも表示されません。

判定結果

判定結果の出所に関わらず、すべて同じ5つの値に正規化されます。

判定	意味
到達可能(ランタイム)	脆弱なコードが実際に実行されるのが観測されました。
到達可能(静的)	アプリケーションのエントリーポイントから脆弱なコードへの呼び出しパスが存在します。
到達可能性あり	部分的な証拠がある状態です。たとえば脆弱なパッケージは使用されているが、具体的な関数までは確認できなかった場合などです。
到達不可	分析の結果、脆弱なコードへのパスが見つかりませんでした。
不明	この検出事項をまだどの到達可能性分析もカバーしていません。

正規化が重要なのは、ツールによって表現が異なるためです。あるスキャナーの「パスが見つからない」と別のスキャナーの「未使用」は意味が異なりますが、DefectDojo はこれらを単一のyes/noに平坦化せず、比較可能な判定として記録します。