评分与优先级排序 on DefectDojo Documentation

CVSS 版本支持

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo 支持在发现项上使用 CVSS 元数据，包括 CVSS 4.0 标准。本页介绍哪些 CVSS 版本会被端到端存储、您可以在何处录入或查看它们，以及解析器方面的覆盖情况。

DefectDojo 存储的内容

发现项可以携带以下 CVSS 数据：

版本	是否存储向量	是否存储分数	UI 向量构建器与计算器
CVSS v4.0	✅	✅	✅（专业版 UI）
CVSS v3（v3.0 / v3.1）	✅	✅	✅（专业版 UI）
CVSS v2	通过发现项的严重程度字段隐式存储；不存储单独的 v2 向量字段	不适用	不适用

每个发现项在底层模型上都有专门的 cvssv3 / cvssv3_score 以及 cvssv4 / cvssv4_score 字段。这些字段既可以通过 API 访问，也可以通过 UI 访问。

EPSS / KEV

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 会自动使用两个外部威胁情报来源——EPSS 和 CISA KEV——来丰富您的发现项,使优先级排序不仅反映 CVSS 严重程度,还反映漏洞被利用的可能性。这两个来源都通过 CVE 与发现项匹配,按每日计划刷新,并直接影响每个发现项计算得出的优先级分数。

丰富数据按每个漏洞存储一次,然后应用于引用它的每个发现项。这意味着即使某个 CVE 出现在一万个发现项中,系统也只会查询一次,您可以直接在漏洞浏览器中查看其 EPSS 和 KEV 值,而不必逐条查看发现项。

在 DefectDojo Cloud 上,丰富功能是完全托管的:DefectDojo 负责维护底层威胁情报数据并将其提供给您的实例。您无需安装任何内容、无需配置任何数据源 URL,也无需安排每日任务——一切都由 DefectDojo 为您运行。

可达性

Mon, 01 Jan 0001 00:00:00 +0000

如果一个严重 CVE 存在于您的应用程序从未调用过的代码中,其风险与同一个 CVE 出现在实际请求路径上的风险并不相同。可达性正是用来捕捉这一差异:DefectDojo Pro 会记录每个发现项的脆弱代码是否真正可以被到达,向您展示该结论的来源,并将其纳入发现项计算得出的优先级。

可达性是一项**测试版(beta)**功能,默认关闭。超级用户可在 Settings > Feature Flags 下启用该功能。功能关闭时,不会记录任何判定结果,优先级不受影响,也不会出现任何可达性相关的界面。

判定结果

无论判定结果来自哪个工具,都会被统一归一化为以下五种取值:

判定结果	含义
Reachable(runtime,运行时可达)	观察到该脆弱代码正在执行。
Reachable(static,静态可达)	从应用程序入口点到该脆弱代码存在调用路径。
Potentially reachable(可能可达)	存在部分证据——例如确认使用了脆弱的软件包,但无法确认具体函数。
Unreachable(不可达)	分析未发现通往该脆弱代码的路径。
Unknown(未知)	尚无可达性分析覆盖该发现项。

进行归一化处理很重要,因为不同工具在措辞上并不一致:一个扫描器所说的“未发现路径”与另一个扫描器所说的“未被使用”含义并不相同,DefectDojo 会将两者都记录为可供比较的判定结果,而不是将其简化为单一的“是/否”。