同行评审与认领 (Pro)
同行评审让您可以在关闭发现项之前,请求他人对其进行审查。在 DefectDojo Pro 用户界面中,评审还可以被认领,这样当有多人符合评审资格时,所有人都能看到是谁接手处理了该评审。
请求评审
打开一个发现项,从发现项菜单中选择请求评审,或在列表中选择多个发现项并使用批量编辑器。
您可以向指定的用户和组请求评审,也可以勾选允许符合条件的评审人,向该资产上所有符合条件的人发起请求。
请求评审会将发现项设置为评审中,并通知评审人。
认领评审
当已向多人请求评审时,其中任何一人都可以认领它:
- 在发现项上,使用发现项菜单中的认领评审,或使用评审横幅中的按钮。
- 之后,发现项会显示谁持有该评审——在发现项本身上显示,在发现项列表中以认领人列显示,并出现在该用户的我的工作队列中。
评审一旦被认领:
- 只有持有该评审的人、发起请求的人或超级用户可以清除评审。其他符合条件的评审人只会被告知当前是谁持有该评审。
- 持有人可以使用释放评审将其交还,这会将评审放回待选池中,而不会结束该评审。
如果两个人同时进行认领,只有一人会成功,另一人会被告知是谁抢先认领了——评审在任何时候都只能由一人持有。
在以下几种情况下,认领会自动处理,无需您手动清理:
- 清除评审会将该认领标记为已完成。
- 将持有人从评审人列表中移除,或关闭或重新打开该发现项,都会释放该认领。
- 后台任务会释放那些持有人已不再是被请求评审人的认领。
已完成和已释放会被分别记录,因此可以区分出被放弃的评审和已完成的评审。
认领功能由评审认领 功能标志控制,该标志默认开启。
控制哪些人可以被请求评审
“所有符合条件的评审人”是指在该资产上拥有评审发现项权限的所有人——而不是所有可以编辑该发现项的人。
当您希望拥有广泛的可见性,但评审人范围较小时,这一点很重要。由于评审发现项是一项独立的权限,您可以:
- 创建一个角色——例如“安全评审员”——授予其评审发现项权限。
- 将该角色授予应当被实际请求评审的少数人。
- 从您范围更广的角色中移除评审发现项权限,而不影响他们对发现项的访问权限。
有关如何创建角色,请参见自定义 RBAC 角色。
升级时,所有原本就可以编辑发现项的角色都会同时被授予评审发现项权限,因此在您主动更改之前,“所有符合条件的评审人”的含义与之前完全一致。
将发现项分配给某人
评审是请求某人查看。分配则是让某人负责,并不会使发现项进入评审状态。
受理人与所有者并列出现在发现项编辑表单中。所有者是一个组——即该发现项所属队列的团队——而受理人则是具体的个人。
- 可以在发现项编辑表单中分配,也可以通过批量编辑器一次性为多个发现项分配。
- 在批量编辑器中,受理人会被添加到已有的受理人之上。勾选替换现有受理人可使您的选择成为完整列表——这会移除未被选中的所有人,如果您未选择任何人,则会移除全部受理人。
- 发现项列表包含受理人列和受理人筛选器,报告中也可以包含受理人列。
- 每个人被分配的任务都会出现在其我的工作队列中。
您只能将发现项分配给已经能够查看该发现项的人。分配操作本身不会授予访问权限。
规则引擎可以自动设置受理人:选择设置用户和 assignees 字段。
分配功能由工作分配 功能标志控制。