検出事項ステータスの定義

DefectDojoで作成された各検出事項には、関連情報を伝えるステータスがあります。ステータスは、チームが問題解決の進捗状況を把握するのに役立ちます。

各検出事項のステータスには、コンテキストに応じた意味があり、それはチーム自身で定義する必要があります。これらは私たちの提案ですが、チームでの使い方は異なる場合があります。

オープン/クローズは、検出事項の明示的なステータスタイプではないことに注意してください。クラシックUIの一部の要素(たとえば「すべてのオープンな検出事項」テーブル)では、オープンまたはクローズの検出事項について言及することがありますが、これは以下をまとめて指す総称です。

• 「オープンな検出事項」の場合:アクティブおよび/または検証済みの検出事項
• 「クローズした検出事項」の場合:非アクティブ、および/またはリスク受容済み、レビュー中、対象外、誤検知の検出事項

オープンな検出事項ステータス#

検出事項がアクティブになると、検証済みであるかどうかにかかわらず、オープンな検出事項としてラベル付けされます。

オープンな検出事項は、DefectDojoの 検出事項 > オープンな検出事項 ビューから確認できます。

アクティブな検出事項#

「この検出事項はスキャンツールによって発見されました。」

デフォルトでは、DefectDojoで新規作成された検出事項はすべてアクティブとしてラベル付けされます。この場合のアクティブとは、「DefectDojoが過去のインポートで記録していない新しい検出事項である」ことを意味します。過去に緩和済みとなった検出事項が、将来のスキャンで再び検出された場合、その検出事項のステータスは、脆弱性が再発したことを反映して再びオープンになります。

検証済みの検出事項#

「この検出事項は、チームによって存在が確認されました。」

ツールが問題を記録したからといって、必ずしもその検出事項にエンジニアリング対応が必要とは限りません。そのため、新規検出事項はデフォルトで未検証ともラベル付けされます。

検出事項が実際に存在することを確認できた場合は、検証済みとしてマークできます。

DefectDojoの特定の機能は、検出事項がアクティブかつ検証済みであることを必要とします。各検出事項を手動で検証する必要がない場合は、システム設定 ページ(クラシックUI:設定 > システム設定、Pro UI:設定 > システム > システム設定)から、これらの機能の一部またはすべてについて検証済み要件を無効化できます。

これらの検証済みステータスは、次の場合に必要です。

• Jira課題のプッシュ
• 製品への採点(Grading)の適用
• メトリクスの算出

クローズした検出事項ステータス#

「ここに記録されている脆弱性はもはやアクティブではありません。」

検出事項の対応が完了したら、検出事項をクローズオプションから手動でクローズできます。あるいは、以前に記録された検出事項を含まないスキャンがDefectDojoに再インポートされた場合、その以前に記録された検出事項は自動的にクローズされます。

非アクティブ#

「この検出事項は以前に発見されましたが、緩和されたか、ただちに対応する必要がないものです。」

検出事項が非アクティブとしてマークされている場合、その問題は現在ソフトウェア環境に影響を及ぼしておらず、対応の必要がないことを意味します。このステータスは必ずしも問題が解決済みであることを意味するわけではありません。有効なリスク受容も、検出事項を非アクティブとラベル付けするためです。

レビュー中#

「この検出事項を1人以上のチームメンバーに確認してもらうために送付しました。」

検出事項がレビュー中の場合、チームメンバーによるレビューが必要です。検出事項のドロップダウンメニューから ピアレビューをリクエスト を選択することで、検出事項をレビュー中にすることができます。

リスク受容済み#

「チームはこの検出事項に関連するリスクを評価し、修正を安全に先延ばしできると合意しました。」

検出事項は、さまざまな理由から常に修復・対応できるとは限りません。リスク受容を追加オプションを使って、検出事項にリスク受容を追加できます。リスク受容を使うと、ファイルをアップロードしたり、リスク受容の決定を裏付けるメモを入力したりできます。

リスク受容には有効期限があり、期限が来た時点で検出事項の影響を再評価し、次に何をすべきかを決定できます。

リスク受容の詳細については、ガイド を参照してください。

対象外#

「この検出事項はスキャンツールによって発見されましたが、この種の脆弱性を検出することはテストの直接の目的ではありませんでした。」

検出事項を対象外としてマークすると、それが含まれるエンゲージメントまたはテストと直接関連していないことを示します。

ソフトウェアの特定の側面に関連するテストおよび修復対応を行っている場合、このステータスを使って、その検出事項が対応範囲に含まれないことを示すことができます。

誤検知#

「この検出事項はスキャンツールによって発見されましたが、レビューの結果、報告された脆弱性は実在しないことが判明しました。」

検出事項をレビューした結果、報告された脆弱性が実際には存在しないことが判明する場合があります。誤検知ステータスは再インポート時にも維持され、一致する検出事項がオープンまたはクローズされることを防ぐため、ノイズの低減に役立ちます。

別のスキャンツールが類似の検出事項を発見した場合、それは誤検知として記録されません。DefectDojoは、検出事項がすでに記録済みかどうかを判定する際、同一ツール内でのみ検出事項を比較できます。

深刻度 vs リスク#

深刻度は、悪用された場合の問題の技術的な影響を反映します。リスクは、露出度、悪用可能性、代替コントロール、運用上の影響などのコンテキストを考慮した、ビジネス上の緊急性と必要な対応を反映します。

リスクレベルの定義#

緊急#

即座に対応すべき、許容できないビジネスリスクを表す検出事項です。

悪用の可能性が高い、または実際の悪用が観測されている 重要なシステム、機密データ、または顧客環境への直接的な露出がある 代替コントロールが限定的、または存在しない 対応を怠ると、深刻な事業の中断、規制上の影響、または風評被害につながる可能性がある

期待される対応:即時対応 標準的なSLA:緊急修復

対応が必要#

明確かつ対応可能なリスクを示し、迅速な修復または緩和が必要な検出事項です。

現実的な攻撃経路が存在する 影響を受ける資産が露出している、事業上重要である、または顧客向けである 代替コントロールが弱い、存在しない、または未検証である 悪用された場合、測定可能な事業・セキュリティ・コンプライアンス上の影響が生じる

期待される対応:能動的な修復または緩和が必要 標準的なSLA:短期の修復期間

中リスク#

中程度のビジネスリスクを示し、計画的な期間内に修復すべき検出事項です。

悪用された場合、一定の影響が生じる可能性がある 一部の露出はあるものの、悪用には特定の条件や権限が必要 本番システムや顧客データに間接的に影響する可能性がある 即座に悪用可能ではないものの、中または高深刻度の問題に該当することが多い

期待される対応:優先順位付けされた修復 標準的なSLA:計画的な修復期間

低リスク#

ビジネスへの影響が最小限であり、即座の対応を必要としない検出事項です。

実際の悪用は確認されていない 露出が限定的、またはない(例:内部システム、非本番環境、強力な代替コントロールがある場合) 通常の開発・保守サイクルの一環として対応可能 情報提供目的または低深刻度の検出事項であることが多いが、十分に緩和された高深刻度の問題を含む場合もある

期待される対応:機会を見て追跡・対応 標準的なSLA:ベストエフォート/バックログ