资产层级结构 on DefectDojo Documentation

资产层级结构：概览

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo 使用五个主要的数据类来组织您的工作：组织、资产、测试活动、测试和发现项。

DefectDojo 的设计目的是灵活地适应您的团队，而不是让您的团队去迁就工具。一旦您了解了如何使用这些数据类来组织工作，就能够设计出一个健壮、可适应的工作空间。

资产层级关系图

组织

您需要在 DefectDojo 中设置的第一类数据是组织。组织旨在以特定方式对资产进行分类。这可以是：

按业务领域
按开发团队
按安全团队

资产按其所属组织进行分组并嵌套在其下。

组织可以应用基于角色的访问控制规则，从而限制团队成员查看和操作其数据的能力（包括其下属资产中的测试活动、测试和发现项数据）。有关用户角色的更多信息，请参阅我们的角色介绍一文。

组织可以代表什么？

如果某个软件项目有许多不同的部署或版本，那么创建一个涵盖整个项目范围的组织，并让每个版本作为单独的资产存在，可能是值得的。
您也可以考虑使用组织来代表软件开发流程中的各个阶段：一个组织代表“开发中”，一个组织代表“生产中”，依此类推。
归根结底，如何组织您的资产、以及您希望组织代表什么，完全取决于您自己的决定。您的 DefectDojo 层级结构可能需要根据安全团队的需求进行调整。

资产

DefectDojo 中的资产旨在代表您当前正在测试的任何项目、程序或应用程序。资产承载着与其底层目标相关的所有安全工作和测试历史。

SLA 配置

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo 中的每个产品都可以拥有自己的服务级别协议（SLA）配置，该配置表示您的组织修复或以其他方式管理某个发现项所拥有的天数。

SLA 可以基于**发现项严重程度或发现项风险**（在 DefectDojo Pro 中）来设置。

SLA 会根据发现项在 DefectDojo 中创建的日期，为其应用天数倒计时。如果发现项未能在倒计时内关闭，该发现项将被标记为违反 SLA。

使用 SLA

您可以使用 SLA 来体现您组织的修复策略。您也可以使用它们来对 DefectDojo 实例中活动时间最长、最严重的发现项进行优先排序。

您可以按 SLA 天数对发现项表格进行排序或筛选。
可以将 SLA 违规配置为向分配到相关产品的 DefectDojo 用户触发通知。
在 DefectDojo Pro 中，SLA 表现还会在高管洞察与修复指标仪表板中进行跟踪。
在 DefectDojo Pro 中，SLA 合规情况也可以在自定义仪表板中呈现——例如通过 SLA 燃尽图或经过筛选的计数小组件。

“在 SLA 内已缓解”状态

如果发现项在 SLA 截止日期前成功缓解，该发现项会在“在 SLA 内已缓解”列中记录一个 ✅ 绿色对勾。

将发现项链接到源代码

Mon, 01 Jan 0001 00:00:00 +0000

某些工具(尤其是 SAST 工具)会在漏洞数据中包含相关的文件名和行号。如果在测试活动(Engagement)中指定了源代码的代码仓库,DefectDojo 会将文件路径显示为链接,用户可以直接跳转到该漏洞所在的位置。

在测试活动和测试中设置代码仓库

测试活动(Engagement)

在编辑测试活动时,用户可以设置特定源代码管理(SCM)仓库的 URL。(在 Pro UI 中,可在 Edit Engagement > Optional Fields > Repo 下设置此字段。)

对于交互式测试活动(Interactive Engagement),该 URL 需要指定分支:

OWASP ASVS 基准测试

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo 支持根据 OWASP 应用程序安全验证标准(ASVS) 对产品(Product)进行基准评估,该标准为测试 Web 应用程序的技术安全控制提供了依据。

基准测试可以帮助您衡量产品在多大程度上满足了组织所定义的安全要求,并可以在产品页面上发布得分以便查看。

访问基准测试

可以在产品页面访问基准测试。要打开基准测试视图,请在产品页面右上角选择下拉菜单,并在菜单底部附近选择 OWASP ASVS v.3.1。

基准测试级别

OWASP ASVS 定义了三个验证覆盖级别:

一级(Level 1) – 适用于所有软件。以最低的验证成本覆盖最关键的安全要求。这是 DefectDojo 中的默认级别。
二级(Level 2) – 适用于包含敏感数据的应用程序。适用于大多数应用程序。
三级(Level 3) – 适用于最关键的应用程序,例如执行高价值交易或存储敏感医疗、金融或安全数据的应用程序。

您可以使用基准测试视图右上角的下拉菜单在不同级别之间切换。

资产健康等级

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo 可以根据资产中所包含的发现项数量，为您的资产计算等级。等级从 A 到 F 排列。

请注意，只有活动且已验证的发现项才会影响资产等级——未验证的发现项不会产生影响。

每个资产的健康等级（A 至 F）会显示在资产列表中其名称旁边。

资产等级计算

每个资产等级的起始值为 100（在没有发现项的情况下）。

等级计算首先查看资产中发现项的最高严重程度级别，并将资产健康度降低到一个基础水平。

发现项的最高严重程度级别	最高等级
严重	40
高	60
中	80
低	95

之后，每增加一个发现项，都会从等级中扣除相应的分数：