资产层级结构 on DefectDojo Documentation

分配优先级、风险和 SLA

Mon, 01 Jan 0001 00:00:00 +0000

有效的风险优先漏洞管理需要一种同时考虑业务背景和技术可利用性的方法。借助 DefectDojo Pro 的优先级与风险功能,用户可以自动将发现项归入有意义的上下文中,确保优先处理高影响的漏洞。

优先级是应用于您 DefectDojo 实例中所有发现项的一个计算数值排名。它能帮助您快速在上下文中理解漏洞,尤其是在需要监管大量发现项和/或产品安全需求的大型组织中。

风险是一个 4 级排名体系,在更大程度上考虑了发现项的可利用性。它旨在成为优先级的一个精细度较低、更偏"高管层面"的版本。

优先级和风险值可以与其他过滤器结合使用,在任何上下文中比较发现项,例如:

应用发现项优先级和风险有助于您的团队响应组织中最相关的漏洞,同时也提供了一个框架,帮助您符合监管标准的合规要求。

详细了解 DefectDojo, Inc. 2025 年 5 月的答疑时间中关于优先级和风险的内容:

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 正在扩展产品/产品类型（Product/Product Type）对象类，以便为数据模型提供更强的灵活性。

以下两部分功能相互独立，通过不同的方式进行控制。

**资产层级结构（Asset Hierarchy）支持在资产（Asset）之间建立父子关系。该层级结构可以从导航栏中的产品（Product）**选项卡查看和管理。

资产层级结构已正式发布（GA），在云端和本地部署的每个实例上均默认开启。无需进行任何启用操作，该功能也不再列在功能开关（Feature Flags）页面中。

**标签更改（Label Changes）**会在整个 UI 中将“产品类型（Product Type）”重命名为“组织（Organization）”，将“产品（Product）”重命名为“资产（Asset）”。这是与启用层级结构相独立的一个步骤，可以同时进行，也可以稍后再做。

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 通过专用威胁情报——利用可用性、已知利用情况以及威胁行为者活动——来丰富您的发现项,并将其纳入优先级与风险的计算中。这远远超出了 EPSS 和 CISA KEV 标记所能提供的信息。

每个带有 CVE 的发现项都会在每晚与一个精心整理的情报源进行匹配,该情报源整合自 CISA KEV、Metasploit、Exploit-DB、Nuclei 模板以及公开的概念验证(PoC)跟踪数据。当存在利用证据时,该发现项会显示一张威胁情报卡片:

一个利用成熟度徽章——无 → PoC → 武器化 → 野外活跃利用
一个威胁评分(0-100)
可链接到原始凭证的证据标签——KEV 条目(附带其登记日期)、用于勒索软件、Metasploit 模块、Exploit-DB 条目、Nuclei 模板,以及公开的概念验证代码仓库
一行通俗易懂的说明,解释该发现项的优先级为何上升

除了该卡片之外,这些情报还会作用于整个应用程序的多个界面:

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo 可以根据产品中包含的发现项数量为您的产品计算评级。评级从 A 到 F 排列。

请注意,只有活动且已验证的发现项才会计入产品评级——未验证的发现项不会产生影响。

每个产品评级的起始分数为 100(在没有发现项的情况下)。

评级计算首先查看产品中发现项的最高严重程度,并将产品健康度降低至一个基准水平。

随后,每增加一个发现项都会从评级中扣除相应的分数: