关于 DefectDojo on DefectDojo Documentation

功能对比

Tue, 02 Feb 2021 20:46:29 +0100

DefectDojo 开源版是一个强大的免费漏洞管理平台，具备核心导入、去重、基础仪表板、API 访问和基本报告功能——非常适合较小的团队，或希望自行托管并借助社区资源扩展该工具的用户。

DefectDojo Pro 在此基础上进一步构建了面向企业的功能，例如高级仪表板与报告、通过规则引擎实现的自动化与脚本编写、与众多安全工具对接的连接器、优化的导入工作流、统一的 SOC 与 AppSec 支持、改进的 UI/UX、AI 集成、增强的安全性（SSO/MFA）以及高级支持选项。

Feature / Capability	DefectDojo Open-Source	DefectDojo Pro
核心漏洞管理	✔️ 从 500 多种安全工具导入、跟踪并管理发现项	✔️ 涵盖开源版全部功能，并针对规模化场景进行了优化
发现项去重	✔️ 标准去重	✔️ 高级、可配置的去重
REST API	✔️ 完整 REST API	✔️ 完整 REST API
身份验证与访问控制	✔️ 本地身份验证与基础 RBAC	✔️ SSO（SAML/OAuth）、MFA、高级 RBAC
用户界面	✔️ 社区版 UI	✔️ 现代化 Pro UI，性能有所提升
仪表板与报告	✔️ 基础仪表板与报告	✔️ 高级、可自定义的仪表板与高管报告
自动化与工作流	❌ 不包含	✔️ 规则引擎与自动化工作流
导入增强	❌ 仅支持标准导入	✔️ 后台导入、智能上传、通用解析器、CLI 上传
工具集成	❌ 手动/基于 API	✔️ 内置上游连接器，对接主流 AppSec 与云工具
Jira 集成	✔️ 已包含	✔️ 已包含
项目管理集成	❌ 不包含	✔️ 下游连接器，对接 Jira、Azure DevOps、GitHub、GitLab、ServiceNow、Bitbucket、Shortcut、PagerDuty、Zendesk、ServiceDesk Plus 和 Freshservice
发现项增强	❌ 不包含	✔️ 自动 KEV、EPSS 评分与勒索软件跟踪
SOC 与 AppSec 统一	❌ 仅面向 AppSec	✔️ 统一的 AppSec 与 SOC 发现项
AI 与下一代功能	❌ 不包含	✔️ AI 辅助工作流、报告与 MCP 支持
支持	社区支持（GitHub、Slack、论坛）	具有 SLA 保障的商业支持
托管选项	自行托管	自行托管或云托管

关于 DefectDojo

Tue, 02 Feb 2021 20:46:29 +0100

DefectDojo, Inc. 及开源贡献者共同维护本文档，以支持 DefectDojo 的社区版和 Pro 版。

什么是 DefectDojo？

DefectDojo 是一个开发者安全运营（DevSecOps）平台。DefectDojo 通过充当您整套安全工具的自动聚合器来简化 DevSecOps 流程，让您可以轻松组织安全工作，并向其他利益相关者报告组织的安全态势。

尽管安全流程自动化和集成开发流水线是 DefectDojo 的最终目标，但从本质上说，本软件是一个面向安全漏洞的缺陷跟踪系统，用于摄取、组织并标准化来自众多安全工具的报告。

❓ 常见问题

Mon, 01 Jan 0001 00:00:00 +0000

以下是关于使用 DefectDojo 的一些常见问题——涵盖 DefectDojo Pro 和 DefectDojo OS。

常见问题

我应该如何在 DefectDojo 中组织我的安全测试？

虽然 DefectDojo 可以支持任何安全或测试环境，但每个安全团队和运营方式各不相同，因此没有放之四海而皆准的使用方法。我们有一篇非常详细的文章介绍了常见用例，其中包含不同组织如何应用 RBAC 和 DefectDojo 数据模型来满足自身需求的示例。

DefectDojo 中安全测试的推荐工作流是什么？

DefectDojo 旨在成为您组织安全态势的核心真实来源，并可以根据您组织的需求满足不同的需要，例如：

☑️ 新用户核对清单

Mon, 01 Jan 0001 00:00:00 +0000

以下是一份快速参考指南，可帮助您从零开始成功实施，直至拥有一个功能齐全的应用。本文假设您已在您的环境中安装并运行了 DefectDojo 社区版（Community Edition）。

DefectDojo 的核心理念是导入安全数据、对其进行组织，并将其呈现给需要了解这些信息的人员。以下是在 DefectDojo 开源版中实现这些目标的方法：

DefectDojo 开源版

开源版用户可以先创建首个产品类型和产品。创建完成后，即可通过 UI 将文件导入到其中一个产品中。
现在您已经在 DefectDojo 中拥有数据，可以考虑扩展您的产品布局——参见产品层级概述。产品层级会为您的应用创建一个可用的清单，帮助您将数据划分为逻辑分类。这些分类可用于应用访问控制规则，或将报告细分给正确的团队。
使用报告构建器来汇总您已导入的数据。报告可用于快速与产品负责人等相关方共享发现项（Findings）。

这就是 DefectDojo 的核心理念——导入安全数据、组织数据，并将其呈现给需要了解的人员。

☑️ 新用户核对清单

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo 的核心理念是导入安全数据、对其进行组织，并将其呈现给需要了解的人员。以下是一份快速参考指南，可帮助您从零开始成功实施，直至拥有一个功能齐全的应用。

探索 DefectDojo

首先通过 UI 导入一个文件。这通常是了解您的数据如何契合 DefectDojo 模型的最快方式。
现在您已经在 DefectDojo 中拥有数据，请通过产品层级概述进一步了解如何组织这些数据。产品层级会为您的应用创建一个可用的清单，帮助您将数据划分为逻辑分类、应用访问控制规则、按优先级和风险对发现项排序，或将报告细分给正确的团队。
查看您的指标页面，可用于快速与关键相关方共享发现项报告。

这就是 DefectDojo 的核心理念——导入安全数据、组织数据，并将其呈现给需要了解的人员。

所有这些功能都可以实现自动化，并且由于 DefectDojo 能够处理超过 500 种工具（截至本文写作时），您应该完全能够为整个组织的产出创建一份可用的安全清单。

🎨 Pro UI 变更

Mon, 01 Jan 0001 00:00:00 +0000

2023 年末，DefectDojo, Inc. 为 DefectDojo Pro 发布了全新的 UI，该 UI 现已成为该版本的默认 UI。

Pro UI 为 DefectDojo 带来了以下增强：

使用 Vue.js 打造的现代简洁设计。
优化的数据传输和加载时间，尤其是在处理大型数据集时。
可访问新的 Pro 功能，包括上游连接器、Universal Importer 以及 Pro 指标视图。
改进的 UI 工作流：更好的筛选、仪表板和导航。

切换到 Pro UI

要访问 Pro UI，请从右上角打开您的用户选项菜单。您也可以通过同一菜单切换回经典 UI。

在线演示

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo 提供两个在线演示环境。两者均预加载了数据并可完整使用，运行的是最新版本的 DefectDojo。

演示服务器每天重置一次，并且是公开访问的；请勿在演示环境中放入敏感数据。

🔸 DefectDojo Pro 演示

您可以在 pro.demo.defectdojo.com 上试用 DefectDojo Pro

使用 admin / 1Defectdojo@demo#appsec 登录。

🔹 DefectDojo 社区版演示

您可以在 demo.defectdojo.org 上试用我们的社区版