検出事項 on DefectDojo Documentation

検出事項の概要

Mon, 01 Jan 0001 00:00:00 +0000

検出事項(Findings)は、DefectDojoがセキュリティツールのレポートおよび修復プロセスを標準化し導くための主要な手段です。脆弱性がSonarQube、Acunetix、あるいはチーム独自のツールのいずれで報告された場合でも、検出事項を使うことですべての脆弱性を同じ方法で管理できます。

検出事項とは

DefectDojoにおける検出事項は、以下の要素で構成されています。

報告された該当の脆弱性データ
検出事項の「ステータス」。修復状況、リスク受容、その他その脆弱性に関して下された判断を追跡するために使用されます
検出事項に関連するその他のメタデータ。例えば、ネットワーク内での検出事項の場所、ツールによる修復方法の提案、関連するCWEやEPSSスコアへのリンクなどが含まれます。

脆弱性データを保存し修復のためのフレームワークを提供することに加えて、DefectDojoは以下の方法でも検出事項を強化します。

悪用可能性を示す関連EPSSスコアを検出事項に自動的に追加する
セキュリティツールの深刻度指標を各検出事項の深刻度スコアに自動的に変換し、製品のSLA設定に応じて検出事項にSLAを付与する

全体として、DefectDojoの検出事項は製品階層と連携して機能するよう設計されており、取り組みを標準化し、各製品に一貫した手法を適用します。

検出事項ページ

検出事項ページにはさまざまな要素が含まれています。それぞれの要素は、検出事項の作成時に行われるインポート処理によって入力されます。

検出事項のタイトル: 通常、検出された脆弱性や問題を識別するための簡潔な説明です。このセクションには、ユーザーが作成したタグが存在する場合、それも表示されます。
検出事項の概要: このセクションには、検出事項に関連する情報を記載した5つのページが含まれます。説明、緩和策、影響、参考情報、メモです。これらのフィールドは、取り込まれた脆弱性データに基づいて自動的に入力される場合もあれば、追加のコンテキストを提供するためにDefectDojoのユーザーが編集する場合もあります。

説明は、該当する検出事項についてのより詳細な要約と説明です。
緩和策は、システムから検出事項を解消するために提案される対処方法です。
影響は、脆弱性がセキュリティ体制に与える影響を説明します。このページには説明テキストが記載されている場合もあれば、CVSSベクター文字列が含まれる場合もあります。これは、脆弱性全体の悪用可能性と、悪用された場合に組織へもたらされる結果を簡潔に伝える表記法です。影響は検出事項の深刻度フィールドと密接に関連しています。
参考情報には、この検出事項に関連するリンクやその他の情報が含まれている場合に一覧表示されます。
メモは、この検出事項に関するその他の関連情報を記録できるページです。メモは「DefectDojo専用」のメタデータであり、インポート時に作成されるものではありません。このフィールドを使って、修復の進捗を追跡したり、検出事項により具体的な詳細を追加したりできます。

追加の詳細: 該当する場合、このセクションにはこの検出事項に関連するその他の詳細が一覧表示されます。

リスク受容

Mon, 01 Jan 0001 00:00:00 +0000

リスク受容は、検出事項に適用できる特別なステータスで、直ちに修復せずに検出事項を承認するという判断を正式に文書化し、運用に反映させるためのものです。

DefectDojo Pro とは異なり、OS 版 DefectDojo のリスク受容は独立したオブジェクトではありません。リスク受容はエンゲージメントにのみ紐づいており、そのため、リスク受容が属するエンゲージメント内の検出事項のみを含めることができます。同じ検出事項が3つの異なるエンゲージメントのテストにそれぞれ出現する場合、それらの検出事項をすべて受容するには3つの異なるリスク受容が必要になります。

Accessing Risk Acceptances

リスク受容には、各エンゲージメント内の特定のテストに関連する検出事項が含まれます。そのため、それらの検出事項の元になったテストを含むエンゲージメントからアクセスできます。

リスク受容された個々の検出事項の全リストは、サイドバーの検出事項セクション内のリスク受容済み検出事項サブメニューで確認できます。

Creating Risk Acceptances

検出事項がリスク受容されると、以下のことが発生します。

検出事項のステータスは「アクティブ」ではなくなりますが、引き続き検索、レポート作成、監査の対象となります。
検出事項のステータスは「リスク受容済み」に変更されます。
検出事項はメトリクスに含まれなくなりますが、元になったテスト内には引き続き表示されます。

検出事項をリスク受容する方法は2通りあります。完全リスク受容に手動で追加する方法と、簡易リスク受容ワークフローを使用する方法です。

リスク受容

Mon, 01 Jan 0001 00:00:00 +0000

リスク受容(Risk Acceptance) は、Full Risk Acceptance オブジェクトまたは Simple Risk Acceptance ワークフローのいずれかを使用して検出事項に適用できる特別なステータスです。リスク受容は、脆弱性のある検出事項を直ちに修復せずに容認するという判断を正式に文書化し、運用できるようにするために使用します。

DefectDojo Pro には、リスクマネジメントの意思決定を拡張するための強化されたリスク受容機能が含まれています。主な機能は次のとおりです。

クロスプロダクトリスク受容(Cross-Product Risk Acceptances): 単一のリスク受容を複数の製品にまたがって適用できるため、資産ポートフォリオ全体における同一または類似の検出事項のすべてのインスタンスを、1つのリスク受容オブジェクトにまとめることができます。
一括リスク受容管理(Bulk Risk Acceptance Management): 特定の脆弱性IDの検出事項をフィルタリング・検索し、それらがどの資産に属しているかに関わらず、すべての結果に一括でリスク受容を適用できます。

リスク受容済みの検出事項へのアクセス

サイドバーにはリスク受容用のセクションがあり、そのドロップダウンメニューには次の3つのサブセクションが含まれています。

検出事項ステータスの定義

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoで作成された各検出事項には、関連情報を伝えるステータスがあります。ステータスは、チームが問題解決の進捗状況を把握するのに役立ちます。

各検出事項のステータスには、コンテキストに応じた意味があり、それはチーム自身で定義する必要があります。これらは私たちの提案ですが、チームでの使い方は異なる場合があります。

オープン/クローズは、検出事項の明示的なステータスタイプではないことに注意してください。クラシックUIの一部の要素(たとえば「すべてのオープンな検出事項」テーブル)では、オープンまたはクローズの検出事項について言及することがありますが、これは以下をまとめて指す総称です。

「オープンな検出事項」の場合:アクティブおよび/または検証済みの検出事項
「クローズした検出事項」の場合:非アクティブ、および/またはリスク受容済み、レビュー中、対象外、誤検知の検出事項

オープンな検出事項ステータス

検出事項がアクティブになると、検証済みであるかどうかにかかわらず、オープンな検出事項としてラベル付けされます。

オープンな検出事項は、DefectDojoの 検出事項 > オープンな検出事項 ビューから確認できます。

アクティブな検出事項

「この検出事項はスキャンツールによって発見されました。」

デフォルトでは、DefectDojoで新規作成された検出事項はすべてアクティブとしてラベル付けされます。この場合のアクティブとは、「DefectDojoが過去のインポートで記録していない新しい検出事項である」ことを意味します。過去に緩和済みとなった検出事項が、将来のスキャンで再び検出された場合、その検出事項のステータスは、脆弱性が再発したことを反映して再びオープンになります。

検証済みの検出事項

「この検出事項は、チームによって存在が確認されました。」

ツールが問題を記録したからといって、必ずしもその検出事項にエンジニアリング対応が必要とは限りません。そのため、新規検出事項はデフォルトで未検証ともラベル付けされます。

検出事項が実際に存在することを確認できた場合は、検証済みとしてマークできます。

DefectDojoの特定の機能は、検出事項がアクティブかつ検証済みであることを必要とします。各検出事項を手動で検証する必要がない場合は、システム設定 ページ(クラシックUI:設定 > システム設定、Pro UI:設定 > システム > システム設定)から、これらの機能の一部またはすべてについて検証済み要件を無効化できます。

検出事項の編集

Mon, 01 Jan 0001 00:00:00 +0000

もし検出事項にメモを追加したり、現在の状況に合わせて文言を更新したりしたい場合は、検出事項編集フォームから行うことができます。

検出事項編集フォームを開く

上部の ⚙️ ギア メニュー を開き、検出事項を編集 をクリックすることで、検出事項を更新できます。

これにより 検出事項を編集 フォームが開き、メタデータの編集、検出事項のステータスの変更、追加情報の入力ができます。

検出事項編集フォーム:項目

「テスト」は編集できません: 検出事項は必ずテストオブジェクトに関連付けられている必要があり、そのコンテキストの外に移動することはできません。ただし、テストを含むエンゲージメントを別の製品に移動することは可能です。
検出元(Found By) は、この検出事項を発見したスキャンツールです。テストに関連付けられたツール以外のスキャンツールを追加することもできます。
タイトル はスキャンレポートから作成されますが、必要に応じてより分かりやすいタイトルに編集できます。重複排除(Deduplication)は一般的に検出事項のタイトルを使って重複を識別するため、タイトルの変更が重複排除に影響する可能性がある点に注意してください。
日付は、検出事項がスキャナーによって発見された日付を表すためのものであり、必ずしも検出事項がDefectDojoにインポートされた日付ではありません。この日付はスキャンレポートから取得されますが、必要であれば(たとえば過去のデータを扱う場合や、発見日をログに記録しないスキャンツールを使用している場合など)より正確な日付に更新できます。
説明は、スキャンツールによって提供された検出事項の説明です。必要に応じて検出事項の説明に情報を追加したり削除したりできます。
深刻度 はいくつかの要因に基づいて算出されます。基本的にはツールが報告した深刻度が使用されますが、検出事項の深刻度はEPSSの変化によって影響を受けることがあります。適切なレベルに手動で調整することも可能です。
タグは、フィルターを使って検出事項を整理するために使用できる汎用のテキストラベルです。特定の検出事項を識別するための略称として使うこともできます。
アクティブ / 検証済み は、ツールが使用する主要な検出事項のステータスです。アクティブな検出事項とは、現在ネットワーク上で有効であり、ツールによって報告された検出事項のことです。検証済みとは、この検出事項がチームメンバーによって存在することが確認されたことを意味します。
SAST / DAST は、検出事項が発見されたコンテキストに応じて整理するために使用されるラベルです。通常このラベルは使用されたスキャンツールに基づいて自動的に設定されますが、より正確なレベルに調整することもできます(たとえば、SASTツールとDASTツールの両方によって検出事項が発見された場合など)。

緩和日と緩和実施者の編集

デフォルトでは、検出事項の 緩和日(Mitigated Date) と 緩和実施者(Mitigated By) の値は編集できません。これらの項目は検出事項編集フォームおよび検出事項クローズダイアログの両方で非表示になっており、緩和日は検出事項がクローズされた瞬間に自動的に設定されます。同じ理由から、APIを通じてこれらの値を設定または過去の日付に遡って変更しようとする操作は拒否されます。

検出事項を手動で作成する

Mon, 01 Jan 0001 00:00:00 +0000

通常、環境内の検出事項のほとんどは、他のセキュリティツールからインポートされます。スキャンツールから作成されたものではない、管理したい脆弱性や作業がある場合は、検出事項を手動で追加することもできます。

DefectDojo のサイドバーから、管理 > 検出事項 > 新規検出事項 をクリックして、新規検出事項のリンクを開きます。
これにより 新規検出事項 フォームが開き、検出事項に関する任意の情報を入力できます。この検出事項は、DefectDojo内であらかじめ作成しておいたテストに割り当てる必要があります。

ファイルの添付

Mon, 01 Jan 0001 00:00:00 +0000

検出事項、エンゲージメント、テストにファイルを添付して、補足情報を提供できます。たとえば概念実証のスクリーンショット、生のスキャナーレポート、ネットワーク図、結果を裏付けるスプレッドシートなどです。

各オブジェクトはそれぞれ独自のファイルセットを持ち、1つのオブジェクトに最大10個のファイルを添付できます。

サポートされているファイル形式

デフォルトでは、以下の拡張子が許可されています。

.txt .pdf .json .xml .csv .yml .png .jpeg
.sarif .xlsx .doc .html .js .nessus .zip .fpr

管理者は DD_FILE_UPLOAD_TYPES 環境変数でこのリストを変更できます。リストにない拡張子のファイルをアップロードしようとすると、フォームによって拒否されます。

ファイルの添付

Mon, 01 Jan 0001 00:00:00 +0000

検出事項、エンゲージメント、またはテストにファイルを添付して、補足的なコンテキストを提供できます。例えば、概念実証(PoC)のスクリーンショット、生のスキャナーレポート、ネットワーク図、結果を裏付けるスプレッドシートなどです。

各オブジェクトはそれぞれ独自のファイルセットを保持し、1つのオブジェクトには最大10ファイルまで添付できます。

Supported File Types

デフォルトでは、以下の拡張子が受け付けられます。

.txt .pdf .json .xml .csv .yml .png .jpeg
.sarif .xlsx .doc .html .js .nessus .zip .fpr

管理者はDD_FILE_UPLOAD_TYPES環境変数を使用してこのリストを変更できます。リストにない拡張子のファイルをアップロードしようとすると拒否されます。

検出事項の一括編集

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro UI では、検出事項は任意の検出事項リスト — すべての検出事項ページ、またはテスト内の検出事項リスト — から一括編集できます。

Selecting Findings for Bulk Edit

どの検出事項テーブルでも、検出事項の横にあるチェックボックスを使用して選択します。1つ以上の検出事項を選択すると、以下のコントロールを含む一括操作バーが表示されます。

Bulk Edit — 選択したすべての検出事項にメタデータの変更、タグ、メモ、レビュー依頼を適用できる単一のフォームを開きます。これがメインとなる統合画面です(詳細は後述)。
Risk Acceptance — 選択した検出事項を、新規または既存の完全リスク受容に追加します。
Finding Group — 選択した検出事項を、新規または既存の検出事項グループに追加、またはグループから削除します。
Merge — 選択した検出事項を1つの検出事項に統合します。
Delete — 選択した検出事項を削除します(確認あり)。

現在の選択に対してアクションを適用できない場合、そのコントロールは無効になります — 利用可否とスキップされる検出事項を参照してください。

ピアレビューと受け持ち

Mon, 01 Jan 0001 00:00:00 +0000

ピアレビューを使うと、検出事項をクローズする前に誰かに確認してもらうよう依頼できます。DefectDojo Pro UI では、レビューを受け持つこともでき、複数の人が対象となっている場合でも、誰が引き受けたかを全員が確認できます。

Requesting a review

検出事項を開き、検出事項メニューからRequest Reviewを選択します。または、リスト内で複数の検出事項を選択し、一括編集ツールを使用します。

名前を指定したユーザーやグループにレビューを依頼することも、Allow Eligible Reviewersにチェックを入れて、そのアセットで対象となる全員に依頼することもできます。

レビューを依頼すると、検出事項はUnder Reviewに設定され、レビュアーに通知が送られます。

Claiming a review

複数の人にレビューが依頼されている場合、そのうちの誰か1人がそれを引き受けることができます。

検出事項で、検出事項メニューのClaim Review、またはレビューバナー内のボタンを使用します。
検出事項自体に、検出事項リストのClaimed By列として、またその人のMy Workキューに、誰がそのレビューを保持しているかが表示されます。

レビューが受け持たれると、以下のようになります。