検出事項の編集

もし検出事項にメモを追加したり、現在の状況に合わせて文言を更新したりしたい場合は、検出事項編集フォームから行うことができます。

検出事項編集フォームを開く#

上部の ⚙️ ギア メニュー を開き、検出事項を編集 をクリックすることで、検出事項を更新できます。

これにより 検出事項を編集 フォームが開き、メタデータの編集、検出事項のステータスの変更、追加情報の入力ができます。

検出事項編集フォーム:項目#

• 「テスト」は編集できません: 検出事項は必ずテストオブジェクトに関連付けられている必要があり、そのコンテキストの外に移動することはできません。ただし、テストを含むエンゲージメントを別の製品に移動することは可能です。 ​
• 検出元(Found By) は、この検出事項を発見したスキャンツールです。テストに関連付けられたツール以外のスキャンツールを追加することもできます。 ​
• タイトル はスキャンレポートから作成されますが、必要に応じてより分かりやすいタイトルに編集できます。重複排除(Deduplication)は一般的に検出事項のタイトルを使って重複を識別するため、タイトルの変更が重複排除に影響する可能性がある点に注意してください。 ​
• 日付 は、検出事項がスキャナーによって発見された日付を表すためのものであり、必ずしも検出事項がDefectDojoにインポートされた日付ではありません。この日付はスキャンレポートから取得されますが、必要であれば(たとえば過去のデータを扱う場合や、発見日をログに記録しないスキャンツールを使用している場合など)より正確な日付に更新できます。 ​
• 説明 は、スキャンツールによって提供された検出事項の説明です。必要に応じて検出事項の説明に情報を追加したり削除したりできます。 ​
• 深刻度 はいくつかの要因に基づいて算出されます。基本的にはツールが報告した深刻度が使用されますが、検出事項の深刻度はEPSSの変化によって影響を受けることがあります。適切なレベルに手動で調整することも可能です。 ​
• タグ は、フィルターを使って検出事項を整理するために使用できる汎用のテキストラベルです。特定の検出事項を識別するための略称として使うこともできます。 ​
• アクティブ / 検証済み は、ツールが使用する主要な検出事項のステータスです。アクティブな検出事項とは、現在ネットワーク上で有効であり、ツールによって報告された検出事項のことです。検証済みとは、この検出事項がチームメンバーによって存在することが確認されたことを意味します。 ​
• SAST / DAST は、検出事項が発見されたコンテキストに応じて整理するために使用されるラベルです。通常このラベルは使用されたスキャンツールに基づいて自動的に設定されますが、より正確なレベルに調整することもできます(たとえば、SASTツールとDASTツールの両方によって検出事項が発見された場合など)。

緩和日と緩和実施者の編集#

デフォルトでは、検出事項の 緩和日(Mitigated Date) と 緩和実施者(Mitigated By) の値は編集できません。これらの項目は検出事項編集フォームおよび検出事項クローズダイアログの両方で非表示になっており、緩和日は検出事項がクローズされた瞬間に自動的に設定されます。同じ理由から、APIを通じてこれらの値を設定または過去の日付に遡って変更しようとする操作は拒否されます。

DD_EDITABLE_MITIGATED_DATA サーバー設定を使用すると、編集を有効にできます。これを有効にすると、緩和日 と 緩和実施者 の項目が検出事項編集フォームおよび検出事項クローズダイアログに表示されるようになり、APIからも設定できるようになりますが、これは スーパーユーザー 権限を持つユーザーに限られます。つまり、編集を行うには、この設定が有効になっていることと、操作するユーザーがスーパーユーザーであることの 両方 が必要です。

• デフォルトで無効になっている理由: 緩和日を過去に遡って設定できるようにすると、SLA遵守状況を誤って表す可能性があります。実際にはSLA期間外で修復された検出事項が、SLA期間内に緩和されたかのように記録されてしまう恐れがあるためです。この設定を有効にしても、それは今後の動作にのみ影響し、既存の検出事項の緩和日や経過日数を変更することはありません。
• すべての操作が監査可能です: 緩和日や緩和実施者の編集を含む、検出事項へのすべての変更は、検出事項の履歴ログに記録されます。誰が、いつ変更したか、変更前と変更後の値も含まれます。
• 設定の適用方法: DD_EDITABLE_MITIGATED_DATA はサーバーレベルの環境変数です(設定 を参照)。変更を反映するにはサービスの再起動が必要です。
• DefectDojo Cloud / Pro: この設定はUIから変更できません。インスタンスで有効にしたい場合は、DefectDojoサポートまでお問い合わせください。

検出事項の一括編集#

検出事項は、検出事項ページ自体、またはテスト内にある検出事項リストから、一括で編集できます。

一括編集する検出事項の選択#

テストページ上の「[ツール]からの検出事項」テーブルやすべての検出事項リストのように、複数の検出事項が表示されたテーブルを見ているとき、検出事項の横にあるチェックボックスを使って一括編集の対象としてマークできます。

このようにして1つ以上の検出事項を選択すると、(隠れていた)一括編集メニューが開き、次の4つのオプションが含まれます。

• 一括更新アクション:選択した検出事項にメタデータの変更を適用します。
• リスク受容アクション:選択した検出事項を管理するFull Risk Acceptanceを作成するか、既存のFull Risk Acceptanceに検出事項を追加します
• 検出事項グループアクション:選択した検出事項で構成される検出事項グループを作成します。検出事項グループは個別のテスト内でのみ作成できる点に注意してください。
• 削除:選択した検出事項を削除します。この操作は新しいウィンドウで確認する必要があります。

一括更新アクション#

一括更新アクションメニューでは、選択した検出事項に対して次の変更を適用できます。

• 深刻度 の更新
• 新しい 検出事項ステータス の適用
• 検出事項の発見日または修復予定日の変更
• 製品レベルでオプションが有効になっている場合、簡易リスク受容(Simple Risk Acceptance) の追加
• 選択したすべての検出事項への タグ または メモ の適用

リスク受容アクション#

このページでは、選択した検出事項に Full Risk Acceptance を追加できます。新しい Full Risk Acceptance を作成することも、既存のものに検出事項を追加することもできます。

検出事項グループアクション#

このページでは、選択した検出事項から新しい検出事項グループを作成したり、既存の検出事項グループに追加したりできます。

ただし、検出事項グループは個別の テスト 内でのみ作成できます。異なるテスト・エンゲージメント・製品に属する検出事項を、同じ検出事項グループに追加することはできません。

検出事項の一括削除#

赤い 削除 ボタンをクリックすることで、選択した検出事項を削除することもできます。この決定を確認するポップアップウィンドウが表示されます。