联邦合规 on DefectDojo Documentation

合规档案

Mon, 01 Jan 0001 00:00:00 +0000

合规档案（Compliance Profile）将某个资产注册为一个系统，并保存出现在其生成的每份交付物中的基本信息。请打开代表您系统边界的资产，进入 Compliance 标签页，然后选择 Profile。

字段	作用
Enabled（启用）	为该产品开启合规跟踪。
Automatic Sync（自动同步）	使 POA&M 条目与发现项保持同步。
POA&M ID Prefix（POA&M ID 前缀）	条目编号。必填。条目默认按 `V-1`、`V-2` 等方式编号。
Impact Level（影响级别）	LI-SaaS、Low、Moderate 或 High。
Cloud Service Provider（云服务提供商）	CSP 名称，将按此显示在 POA&M 封面信息中。
System / Offering Name（系统 / 产品名称）	系统名称，将按此显示在 POA&M 封面信息中。
FedRAMP System Identifier（FedRAMP 系统标识符）	您系统的标识符，例如 `F00000042`。
Default Point of Contact（默认联系人）	应用于未指定自身联系人的条目。
Scan Item Policy（扫描条目策略）	可选择包含所有未结条目，或仅包含已逾期的扫描条目。
OSCAL SSP Reference（OSCAL SSP 引用）	可选。设置后，生成的 OSCAL POA&M 会通过 `import-ssp` 引用该地址。

仅逾期是 FedRAMP ConMon 的最低要求。Include all open items（包含所有未结条目）是更保守的选择，也是默认设置。

Mon, 01 Jan 0001 00:00:00 +0000

POA&M 条目会根据发现项自动创建和更新。同步会在导入和发现项变更后不久运行，每晚还会执行一次扫尾任务，捕获遗漏的内容。对于没有任何扫描器报告的弱点，您也可以手动添加条目。

该台账遵循 FedRAMP 的约定：

点击任意一行上的铅笔图标，即可打开该条目进行编辑。

Mon, 01 Jan 0001 00:00:00 +0000

在 Snapshots（快照）标签页中，Generate Snapshot（生成快照）会为某个报告周期生成交付物。快照会在生成的那一刻冻结台账：之后的任何编辑都不会改变您已经生成的交付物。

每一行显示对应的周期、状态、未结和逾期条目数量、完成时间，以及两份产物的下载链接。

每份快照都会生成两个产物：

官方的 FedRAMP POA&M Excel 工作簿（模板版本 3.0），其中未结、已结和配置条目分别位于相应的工作表中。
一份 **OSCAL 行动计划与里程碑（plan-of-action-and-milestones）**文档，固定使用 OSCAL 1.0.4 版本——这是 FedRAMP 现行验证规则所接受的版本。

该 OSCAL 文档针对 FedRAMP 工具所需查找的字段，使用了 FedRAMP 的扩展命名空间，包括 POA&M ID、受影响的控制项 ID、偏差状态、供应商依赖情况，以及 KEV 跟踪。

Mon, 01 Jan 0001 00:00:00 +0000

该功能自带两套现成的 SLA 配置。您可以在 SLA 配置设置中将其中任意一套分配给您的产品,也可以复制一套后再进行调整。

截止日期是强制执行的,列入 CISA KEV 目录的发现项,其排期永远不会晚于其 CISA 截止日期。

Mon, 01 Jan 0001 00:00:00 +0000

Compliance 标签页可以使用 DoD 评估方法论的分值权重，依据 NIST 800-171 Rev 2 对 CMMC 二级自评估进行评分。

测试版：请将评分视为估算值。 在此功能处于测试版期间，内置的分值权重及由此得出的 SPRS 评分仅供参考，尚待验证。在将任何评分用于评估提交或合同用途之前，请先对照官方的 DoD NIST SP 800-171 评估方法论进行确认。

Mon, 01 Jan 0001 00:00:00 +0000

控制覆盖情况视图回答了一个简单的问题：我的扫描器实际测试了哪些 800-53 控制项，各控制项下又存在哪些未解决的弱点？

许多扫描器本身就会输出控制引用，DefectDojo 会自动将其提取为控制映射。其中包括：

提取过程以已导入的目录为依据，因此目录无法识别的标识符不会产生任何映射。