测试活动与测试 on DefectDojo Documentation

组织

Mon, 01 Jan 0001 00:00:00 +0000

组织 → 资产 → 测试活动 → 测试 → 发现项

概述

组织位于 DefectDojo 对象层级结构的最顶层。组织与层级结构中位于其下的对象——资产、测试活动、测试和发现项——不同，因为它们并非技术性的扫描目标，而是主要作为组织性抽象，用于按以下方式划分您的安全工作：

业务领域
开发团队
安全团队
软件应用
总体产品系列
客户或子公司
报告结构
等等

上述示例的共同主题体现了组织的核心作用：组织通常应代表您安全计划中稳定、长期存在的边界。

组织

Mon, 01 Jan 0001 00:00:00 +0000

组织 → 资产 → 测试活动 → 测试 → 发现项

概述

组织位于 DefectDojo 产品层级结构的最顶层。组织与层级结构中下级的对象——资产、测试活动、测试和发现项——不同,因为它们并非技术性的扫描目标,而是主要作为组织抽象概念,用于按照以下方式划分您的安全工作:

业务领域
开发团队
安全团队
软件应用程序
总体产品系列
客户或子公司
报告结构
等等。

上述示例的主旨体现了组织的核心作用:它们通常应代表您安全计划中稳定、长期存在的边界。

资产

Mon, 01 Jan 0001 00:00:00 +0000

组织 → 资产 → 测试活动 → 测试 → 发现项

概述

资产是 DefectDojo 对象层级结构中组织安全工作的核心。资产代表贵组织安全团队正在测试的任何项目、计划、软件或实体资产，并承载与该测试目标相关的全部安全工作和测试历史。资产的示例包括：

软件发行版
第三方软件
虚拟机或生产环境中的资产
单个应用程序
微服务
API
SaaS 平台
移动应用
内部系统
业务服务
面向客户的平台
云环境或基础设施域

总的来说，资产应当代表您希望长期跟踪其安全态势的那个“对象”。这包括与该“对象”相关的测试历史、发现项、指标、所有权归属、集成以及修复工作流程。

资产

Mon, 01 Jan 0001 00:00:00 +0000

组织 → 资产 → 测试活动 → 测试 → 发现项

概述

资产是 DefectDojo 对象层级结构中安全工作组织方式的核心。资产代表安全团队正在测试的任何项目、计划、软件或物理资产，并承载与该测试目标相关的所有安全工作和测试历史记录。资产的示例包括：

软件发布版本
第三方软件
生产环境中的虚拟机或资产
单个应用程序
微服务
API
SaaS 平台
移动应用
内部系统
业务服务
面向客户的平台
云环境或基础设施域

总体而言，资产应代表您希望长期跟踪其安全态势的“对象”，这包括与该“对象”相关的测试历史记录、发现项、指标、归属关系、集成以及修复工作流。

测试活动

Mon, 01 Jan 0001 00:00:00 +0000

组织 → 资产 → 测试活动 → 测试 → 发现项

概述

在 DefectDojo 的产品层级结构中,测试活动(Engagement)是以时间或流水线为边界的容器,代表特定产品内一组相关测试的集合。如果您安排了一项计划中的测试工作,无论是例行性质还是一次性的,测试活动都能为您提供一个存放所有相关结果的地方。

测试活动的示例包括:

一次性渗透测试
按月或按季度进行的定期扫描
漏洞赏金审查周期
CI/CD 流水线运行(适用于将每次流水线运行视为独立测试活动的团队)
代码发布周期(例如“v4.2 版本发布安全审查”)

测试活动类型

DefectDojo 支持两种测试活动类型:交互式(Interactive) 和 CI/CD。这些类型决定了测试通常是如何创建的,以及扫描结果是如何导入的。

测试活动

Mon, 01 Jan 0001 00:00:00 +0000

组织 → 资产 → 测试活动 → 测试 → 发现项

概述

在 DefectDojo 的资产层级结构中，测试活动是以时间或流水线为边界的容器，用于表示特定资产内一组相关测试。无论您计划的测试工作是例行性的还是一次性的，测试活动都为您提供了一个存储所有相关结果的地方。

测试活动的示例包括：

一次性渗透测试
每月或每季度的周期性扫描
漏洞赏金评审周期
CI/CD 流水线运行（适用于将每次流水线运行视为独立测试活动的团队）
代码发布周期（例如“v4.2 发布安全评审”）

测试活动类型

DefectDojo 支持两种测试活动类型：**交互式（Interactive）**和 CI/CD。这些类型决定了测试通常是如何创建的，以及扫描结果是如何导入的。

测试

Mon, 01 Jan 0001 00:00:00 +0000

组织 → 资产 → 测试活动 → 测试 → 发现项

概述

测试是一个或多个扫描执行的容器，用于发现产品中的缺陷。测试是 DefectDojo 产品层级结构中最末端、最细粒度的组成部分，作为安全工具执行或人工评估所产生的发现项的容器，同时还添加了发现这些发现项所处的上下文（即报告该发现项的工具、该工具上次运行的时间等）。

测试的示例包括：

静态应用程序安全测试
动态应用程序安全测试
软件成分分析
容器安全扫描
基础设施/网络扫描
人工渗透测试
CI/CD 流水线扫描

测试类型

在 DefectDojo 中创建测试主要有两种方式：

测试

Mon, 01 Jan 0001 00:00:00 +0000

Organizations → Assets → Engagements → TESTS → Findings

概述

测试是一个或多个扫描执行的容器，用于发现资产中的缺陷。测试是 DefectDojo 对象层级中最终、最细粒度的组成部分，它是安全工具执行或人工评估所产生发现项的容器，同时也添加了发现这些发现项时的上下文（即报告该发现项的工具是什么、该工具最近一次运行是什么时候等）。

测试的示例包括：

静态应用程序安全测试
动态应用程序安全测试
软件成分分析
容器安全扫描
基础设施/网络扫描
手动渗透测试
CI/CD 流水线扫描

测试类型

在 DefectDojo 中创建测试的方法有多种，包括特定厂商解析器（例如 Burp、OWASP ZAP、Acunetix、Invicti）、通用发现项导入、通用解析器以及连接器。

发现项

Mon, 01 Jan 0001 00:00:00 +0000

组织 → 资产 → 测试活动 → 测试 → 发现项

概述

发现项 代表产品层级结构中的最低层级,单个漏洞在此处被跟踪和管理,也是 DefectDojo 用于标准化和指导各类安全工具报告与修复流程的主要方式。无论漏洞是由 SonarQube、Acunetix 报告,还是由您团队的自定义工具报告,发现项都能让您以相同的方式管理每一个漏洞。

发现项的示例包括:

Cookie 未标记为 HttpOnly
版本过时(PHP)
带外代码执行(PHP)
版本过时(MySQL)
检测到备份源代码
盲跨站脚本攻击

除了存储漏洞数据和提供修复框架之外,DefectDojo 还通过以下方式增强您的发现项:

发现项

Mon, 01 Jan 0001 00:00:00 +0000

组织 → 资产 → 测试活动 → 测试 → 发现项

概述

发现项是产品层级结构中的最底层,用于跟踪和管理各个漏洞,是 DefectDojo 规范并指导安全工具报告与修复流程的主要方式。无论漏洞是由 SonarQube、Acunetix 报告,还是由您团队的自定义工具报告,发现项都能让您以相同的方式管理每一个漏洞。

发现项示例包括:

Cookie 未标记为 HttpOnly
版本过旧(PHP)
带外代码执行(PHP)
版本过旧(MySQL)
检测到备份源代码
盲跨站脚本

除了存储漏洞数据并提供修复框架外,DefectDojo 还通过以下方式增强您的发现项: