发现项 on DefectDojo Documentation

发现项简介

Mon, 01 Jan 0001 00:00:00 +0000

发现项是 DefectDojo 用来规范和指导安全工具报告与修复流程的主要方式。无论漏洞是由 SonarQube、Acunetix 还是您团队自定义的工具报告的，发现项都能让您以同样的方式管理每一个漏洞。

What are Findings?

DefectDojo 中的发现项由以下几个部分组成：

所报告的相关漏洞数据
发现项的“状态”，用于跟踪修复、风险接受或围绕该漏洞做出的其他决定
与发现项相关的其他元数据。例如，可能包括发现项在您网络中的位置、工具给出的修复建议，或与之关联的 CWE 或 EPSS 分数的链接。

除了存储漏洞数据并提供修复框架外，DefectDojo 还通过以下方式增强您的发现项：

自动为发现项添加相关的 EPSS 分数，以说明其可利用性
自动将安全工具的严重程度指标转换为每个发现项的严重程度分数，并根据您产品的 SLA 配置为该发现项赋予相应的 SLA。

总体而言，DefectDojo 发现项的设计旨在与产品层级结构配合使用，以规范您的工作，并对每个产品应用一致的方法。

编辑发现项

Mon, 01 Jan 0001 00:00:00 +0000

如果您想为发现项添加备注,或更新其描述文字以更贴合当前情况,可以通过“编辑发现项”表单来完成。

打开编辑发现项表单

您可以通过打开顶部的**⚙️ 齿轮菜单并点击编辑发现项**来更新某个发现项。

这将打开编辑发现项表单,您可以在其中编辑元数据、更改发现项的状态并添加其他信息。

编辑发现项表单:字段

“测试”不可编辑: 发现项必须始终与某个测试对象关联,无法脱离该上下文。不过,包含某个测试的测试活动可以被移动到另一个产品中。
发现工具是发现此发现项的扫描工具。请注意,除了与该测试关联的工具外,您还可以添加其他扫描工具。
标题是根据扫描报告生成的,但如有需要,您可以编辑该标题使其更具意义。请注意,这可能会影响去重,因为去重通常使用发现项的标题来识别重复项。
日期用于表示扫描工具发现该发现项的日期 - 不一定是该发现项被导入 DefectDojo 的日期。此日期取自扫描报告,但如有需要,您可以更新此日期使其更准确(例如,在处理历史数据,或使用不记录发现日期的扫描工具时)。
描述是扫描工具提供的发现项描述。如有需要,您可以在发现项描述中添加或删除信息。
严重程度基于多个因素计算得出。在基础层面上,这将是工具报告的严重程度,但发现项的严重程度可能会受到 EPSS 变化的影响。您也可以手动将发现项的严重程度调整为合适的级别。
标签是通用的文本标签,您可以用它们通过筛选器来组织发现项 - 也可以简单地用作识别特定发现项的简写方式。
活动 / 已验证是工具使用的主要发现项状态。活动发现项是指当前在您的网络中仍然存在、并已由工具报告的发现项。已验证表示该发现项已由团队成员确认存在。
SAST / DAST 是用于根据发现项被发现的上下文来组织发现项的标签。通常,该标签会根据所使用的扫描工具自动填充,但您可以将其调整为更准确的级别(例如,如果该发现项同时被 SAST 和 DAST 工具发现)。

编辑“已缓解日期”和“缓解人”

默认情况下,发现项的已缓解日期和缓解人值不可编辑。这两个字段在“编辑发现项”表单和“关闭发现项”对话框中均被隐藏,且已缓解日期始终会在发现项被关闭的那一刻自动设置。出于同样的原因,尝试通过 API 设置或将这些值改为更早的日期也会被拒绝。

发现项状态定义

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo 中创建的每个发现项都有一个状态,用于传达相关信息。状态有助于您的团队跟踪问题解决的进度。

每种发现项状态的含义都与具体场景相关,需要由您自己的团队来定义。以下是我们的建议,但您团队的实际用法可能会有所不同。

请注意,“开放/关闭”并不是发现项明确的状态类型。经典界面的某些部分(例如“所有开放发现项”表格)可能会提及开放或关闭的发现项:这只是一个统称,用于指代

对于“开放发现项”而言,指活动和/或已验证的发现项
对于“关闭发现项”而言,指非活动和/或风险已接受、审核中、超出范围、误报的发现项

开放发现项状态

一旦某个发现项处于活动状态,无论其是否已被验证,都会被标记为开放发现项。

开放发现项可以在 DefectDojo 的发现项 > 开放发现项视图中查看。

活动发现项

“该发现项已被扫描工具发现。”

默认情况下,DefectDojo 中新创建的任何发现项都会被标记为活动。此处的“活动”是指“这是一个新的发现项,DefectDojo 在以往的导入中尚未记录过”。如果某个发现项此前已被缓解,但之后在扫描中再次出现,该发现项的状态将重新开放,以反映该漏洞已经复现。

已验证发现项

“该发现项已由我们的团队确认存在。”

风险接受

Mon, 01 Jan 0001 00:00:00 +0000

风险接受是一种可以应用于发现项的特殊状态,用于正式记录并落实“确认发现项但不立即修复”的决定。

与 DefectDojo Pro 不同,OS 版 DefectDojo 中的风险接受不是独立对象,而是仅与测试活动相关联。因此,它们只能包含所属测试活动中的发现项。如果同一个发现项在 3 个不同测试活动的测试中各出现一次,则需要 3 个不同的风险接受才能完全接受这些发现项。

访问风险接受

风险接受包含的是各测试活动内特定测试的发现项。因此,可以从包含这些发现项所属测试的测试活动中访问它们。

所有单独被风险接受的发现项的完整列表,可在侧边栏“发现项”部分下的“已风险接受的发现项”子菜单中查看。

创建风险接受

当某个发现项被风险接受后,将发生以下情况:

该发现项的状态将不再是“活动”,但仍可查询、可生成报告、可审计。
该发现项的状态将变更为“风险已接受”。
该发现项将不再计入统计指标,但仍会出现在其原始所属的测试中。

发现项可以通过以下两种方式之一被风险接受:手动添加到完整风险接受中,或使用简单风险接受工作流程。

风险接受

Mon, 01 Jan 0001 00:00:00 +0000

风险接受是一种特殊状态,可以通过完整风险接受对象或简单风险接受工作流应用于发现项。风险接受用于正式记录并落实这样一项决策:确认某个存在漏洞的发现项,但不立即进行修复。

DefectDojo Pro 包含增强的风险接受功能,以便大规模处理风险管理决策,包括:

跨产品风险接受:单个风险接受可以应用于多个产品,让您能够将整个资产组合中所有相同或相似发现项的实例合并到一个风险接受对象中。
批量风险接受管理:按漏洞 ID 筛选和搜索特定发现项,并对所有结果一次性应用风险接受,无论它们属于哪个资产。

访问已风险接受的发现项

侧边栏中有一个风险接受相关的部分,其下拉菜单包含三个子部分:

已风险接受的发现项
- 该部分包含一张表格,列出所有已被风险接受的发现项,无论是作为完整风险接受对象的一部分,还是通过简单风险接受工作流被接受。
所有风险接受
- 该部分包含一张表格,按时间顺序列出所有完整风险接受对象。
新建风险接受
- 在侧边栏中点击此选项将启动创建完整风险接受对象的工作流。

创建风险接受

当某个发现项被风险接受时,将发生以下情况:

手动创建发现项

Mon, 01 Jan 0001 00:00:00 +0000

通常,您环境中的大多数发现项都是从其他安全工具导入的。如果需要,您也可以手动添加发现项条目,用于管理并非由扫描工具创建的漏洞或工作项。

在 DefectDojo 侧边栏中,点击管理 > 发现项 > 新建发现项打开“新建发现项”链接。
这将打开新建发现项表单,您可以在其中填写与该发现项相关的任何信息。您需要将此发现项分配给 DefectDojo 中先前创建的一个测试。

附加文件

Mon, 01 Jan 0001 00:00:00 +0000

您可以为发现项、测试活动或测试附加文件以提供支持性背景信息——例如概念验证截图、原始扫描器报告、网络拓扑图,或用于佐证结果的电子表格。

每个对象都保留自己独立的一组文件,单个对象最多可以附加10 个文件。

支持的文件类型

默认情况下,系统接受以下扩展名:

.txt .pdf .json .xml .csv .yml .png .jpeg
.sarif .xlsx .doc .html .js .nessus .zip .fpr

管理员可以通过 DD_FILE_UPLOAD_TYPES 环境变量修改此列表。上传扩展名不在列表中的文件会被表单拒绝。

附加文件

Mon, 01 Jan 0001 00:00:00 +0000

您可以为发现项、测试活动或测试附加文件,以提供支持性背景信息——例如概念验证截图、原始扫描器报告、网络拓扑图,或用于佐证结果的电子表格。

每个对象都保存有自己的一组文件,单个对象最多可附加10 个文件。

支持的文件类型

默认情况下,系统接受以下扩展名:

.txt .pdf .json .xml .csv .yml .png .jpeg
.sarif .xlsx .doc .html .js .nessus .zip .fpr

管理员可以通过 DD_FILE_UPLOAD_TYPES 环境变量更改此列表。上传扩展名不在列表中的文件将被拒绝。

批量编辑发现项

Mon, 01 Jan 0001 00:00:00 +0000

在 DefectDojo Pro 用户界面中,可以从任何发现项列表——所有发现项页面,或测试内的发现项列表——批量编辑发现项。

选择要批量编辑的发现项

在任何发现项表格中,使用发现项旁边的复选框来选择它们。选择一个或多个发现项后,会显示一个批量操作栏,包含以下控件:

批量编辑——打开一个统一的表单,您可以在其中为每个选中的发现项应用元数据更改、标签、备注和评审请求。这是主要的综合操作入口(详见下文)。
风险接受——将选中的发现项添加到新的或现有的完整风险接受中。
发现项组——将选中的发现项添加到新的或现有的发现项组中,或将其从所在的组中移除。
合并——将选中的发现项合并为一个发现项。
删除——删除选中的发现项(需要确认)。

当某项操作无法应用于当前所选内容时,相应的控件将被禁用——参见可用性与被跳过的发现项。

批量编辑

批量编辑按钮会打开一个表单,其中包含所有字段级的批量操作。仅设置您想要更改的字段,其余保持不变,然后点击更新选中的发现项以应用更改。可用的操作包括:

严重程度——设置严重程度(严重、高、中、低或信息)。
状态——应用以下状态之一:活动、已验证、误报、超出范围、已缓解或缺陷评审中。
日期——设置发现日期。
计划修复日期和计划修复版本。
简单风险接受——接受风险或取消接受风险。仅适用于所属产品已启用简单风险接受的发现项;其他发现项将被跳过。
标签——为选中的发现项添加标签,或使用追加/替换切换开关来覆盖每个发现项的整套标签(追加会添加标签;替换会替换所有现有标签)。
替换特定标签——将一个指定标签替换为另一个(详见下文)。
备注——为每个选中的发现项添加一条备注,并可选择备注类型。
评审——对选中的发现项发起或清除评审(详见下文)。
推送到 Jira——将选中的发现项加入队列以推送到 Jira。仅在启用了 Jira 集成时显示。
推送到连接器——将选中的发现项分发到您配置的连接器。仅在启用该功能时显示。

替换特定标签

替换特定标签执行的是一种有针对性、非破坏性的标签替换。请在要替换的现有标签中输入待替换的标签,在新标签中输入替换后的标签。对于每个实际带有旧标签的选中发现项,DefectDojo 会移除该标签并添加新标签——其他所有标签都会保留,而没有旧标签的发现项则不受影响。

导出发现项

Mon, 01 Jan 0001 00:00:00 +0000

显示发现项列表或测试活动列表的页面,在右上角的下拉菜单中提供 CSV 和 Excel 导出选项。

导出发现项

在任意发现项列表页面中,打开右上角的下拉菜单,即可将可见的发现项导出为 CSV 或 Excel 文件。

导出测试活动

在测试活动列表页面中,同样可以使用该下拉菜单将测试活动列表导出为 CSV 或 Excel 文件。