DefectDojo ドキュメント on DefectDojo Documentation

コネクタについて

Tue, 14 Jul 2026 00:00:00 +0000

Note: Connectors are a DefectDojo Pro-only feature.

コネクタは、DefectDojo が双方向でやり取りするすべてのツールのための、DefectDojo Pro UI 上の単一のホームです。これは、これまで別々の場所で設定されていた2つの機能を統合したものです。

アップストリームコネクタ(旧称 API Connectors)は、スキャナーやセキュリティツールから検出事項とアセットインベントリを取り込みます。
ダウンストリームコネクタ(旧称 Integrations)は、検出事項を課題管理システムやチケッティングシステムに送信します。

DefectDojo をセキュリティデータのハブと考えると、アップストリームコネクタはデータが到着する経路であり、ダウンストリームコネクタは修復作業が出ていく経路です。

DefectDojo Proのセルフホスティング

Tue, 02 Feb 2021 20:46:29 +0100

DefectDojo Proは、お客様自身の環境に完全にセルフホストでき、インフラ、データ、セキュリティ体制を自社で管理できます。ホスト型デプロイを除外するコンプライアンス、データレジデンシー、社内セキュリティ要件を持つ組織に適しており、クラウドホスト版の製品と同じ機能を提供します。

このページでは、利用可能なデプロイモデル、開始前に必要なもの、このセクションの他のページとの関係について説明します。

二つのデプロイモデル

単一ホスト上のDocker Composeは、二つのうちよりシンプルな方法です。アプリケーション、非同期ワーカー、キャッシュはすべて一台のマシン上で動作し、弊社が提供するコマンドラインツールで管理します。この構成はスケールアウトしないため、ホストは平均値ではなくピーク値に合わせてサイズを決める必要があり、多くのデプロイではそのピークはUIで作業しているユーザーがいる最中に大規模なスキャンインポートが到着する場合です。

Helmチャートを使用したKubernetesは、同じコンポーネントを個別のワークロードとして実行します。これにより定常状態に合わせてプロビジョニングし、負荷が来たときにレプリカを追加でき、マシン全体ではなく実際にビジーな部分だけをスケールできます。

どちらのモデルもPostgreSQLを使用します。本番環境では、Helmチャートがデフォルトで想定している外部の管理型データベースを推奨します。Composeツールはアプリケーションと並んでコンテナ内でPostgreSQLを実行することもでき、これは評価用には便利ですが、本番データには適していません。

すでにKubernetesを運用しているなら、それを使ってください。単一ホストでも問題なく動作し、多くのデプロイがその方式で運用されていますが、再配分できない余剰キャパシティを購入することになります。Kubernetesを運用しておらず、導入したくもない場合、Composeは妥協案ではなく正当な選択肢です。

開始前に

まずデプロイのサイズを決めてください。どちらのモデルも、保持を見込む検出事項の件数と、同時に製品を利用する人数のおおよその見当が必要で、この二つの数値がデプロイの異なる部分を左右します。このセクションのハードウェアサイジングのガイダンスでは、両方について説明しています。

選択したモデル用のライセンスファイルとデプロイツールが必要です。DefectDojoはサブスクリプション開始時に両方を提供します。お持ちでない場合、または再発行が必要な場合は、アカウント担当者またはsupport@defectdojo.comまでご連絡ください。

また、実行する場所、到達可能なPostgreSQLデータベース、デプロイ先を解決するホスト名も必要です。個々のインストールページで、各モデルの詳細を説明しています。

このセクションのその他の内容

このページに関連するページでは、ライフサイクルの残りの部分を扱っています。ハードウェア選定のためのサイジングガイダンス、既存のオープンソースインスタンスをセルフホスト型Proデプロイに移行する手順、対象ホストがインターネットに接続できない環境でのインストール手順があります。

すでに稼働しているデプロイについては、アップグレード、バックアップ、大規模スキャンアップロードを拒否する上限の引き上げ、ホストの容量が不足した際のアップロードファイル用ストレージの拡張に関するページがあります。セクションナビゲーションを使って参照してください。

ご質問

お客様の環境に合わせてどちらのモデルにするか検討している場合、またはお客様の状況がここでの前提と異なる場合は、プロビジョニングした後ではなく、その前にご相談いただくことをお勧めします。

既存のお客様は、アカウント担当者またはsupport@defectdojo.comまでご連絡ください。DefectDojo Proの評価中でセルフホストについて相談したい場合は、hello@defectdojo.comまでご連絡ください。

DefectDojoについて

Tue, 02 Feb 2021 20:46:29 +0100

DefectDojo, Inc.およびオープンソースコントリビューターは、DefectDojoのCommunity版とPro版の両方をサポートするために本ドキュメントを管理しています。

DefectDojoとは?

DefectDojoは、Developer Security Operations(DevSecOps)プラットフォームです。DefectDojoは、お使いのセキュリティツール群を自動的に集約することでDevSecOpsを効率化し、セキュリティ業務を簡単に整理して、組織のセキュリティ体制を他のステークホルダーに報告できるようにします。

セキュリティプロセスの自動化と統合された開発パイプラインはDefectDojoの最終目標ですが、このソフトウェアの中核は、多数のセキュリティツールからのレポートを取り込み、整理し、標準化するためのセキュリティ脆弱性向けバグトラッカーです。

DefectDojoは何をするのか?

DefectDojoには、セキュリティツールの結果を強化・調整するためのスマートな機能が備わっており、以下のようなことが可能です。

コンテキストに応じてセキュリティの検出事項を追跡・報告する
コンテキストに応じてSLAを適用する
誤検知、リスク受容、その他のトリアージ判断を処理する
DefectDojoの重複排除アルゴリズムを使用して重複を排除する
外部のプロジェクト追跡ソフトウェアと連携する。
CI/CD連携を使用して、リポジトリや開発ブランチ全体にわたるメトリクス/レポートを提供する。
従来型のペネトレーションテスト管理を調整する。
脆弱性修正手順のSLAを設定・適用する。
セキュリティ脆弱性に対するリスク受容を作成・追跡する。

最終的に、DefectDojoの製品:エンゲージメントモデルにより、開発環境の棚卸しを行い、新しいセキュリティの検出事項を即座にコンテキストの中に位置付けることができます。

機能比較

Tue, 02 Feb 2021 20:46:29 +0100

DefectDojo Open-Sourceは、コアとなるインポート機能、重複排除、基本的なダッシュボード、APIアクセス、必須のレポート機能を備えた、強力で無料の脆弱性管理プラットフォームです。小規模なチームや、コミュニティリソースを使ってツールを自己ホスティングし拡張したい方に最適です。

DefectDojo Proは、その基盤の上に、高度なダッシュボードとレポート、ルールエンジンによる自動化とスクリプティング、多数のセキュリティツールへのコネクタ、最適化されたインポートワークフロー、SOCとAppSecの統合サポート、改善されたUI/UX、AI連携、強化されたセキュリティ(SSO/MFA)、プレミアムサポートオプションなど、エンタープライズ志向の機能を追加しています。

Feature / Capability	DefectDojo Open-Source	DefectDojo Pro
コア脆弱性管理	✔️ 500以上のセキュリティツールから検出事項をインポート、追跡、管理	✔️ Open-Sourceのすべての機能をスケールに最適化
検出事項の重複排除	✔️ 標準の重複排除	✔️ 高度で設定可能な重複排除
REST API	✔️ フルREST API	✔️ フルREST API
認証とアクセス制御	✔️ ローカルアカウントとアセットごとのアクセスリスト	✔️ SSO(SAML、OIDC、OAuth)、LDAP、MFA、ロールベースアクセス制御
ユーザーインターフェース	✔️ Community UI	✔️ パフォーマンスが改善されたモダンなPro UI
ダッシュボードとレポート	✔️ 基本的なダッシュボードとレポート	✔️ 高度でカスタマイズ可能なダッシュボードと経営層向けレポート
自動化とワークフロー	❌ 含まれません	✔️ ルールエンジンと自動化ワークフロー
インポートの拡張機能	❌ 標準インポートのみ	✔️ バックグラウンドインポート、スマートアップロード、ユニバーサルパーサー、CLIアップロード
ツール連携	❌ 手動/API駆動	✔️ 主要なAppSecおよびクラウドツール向けの組み込みアップストリームコネクタ
Jira連携	✔️ 含まれます	✔️ 含まれます
プロジェクト管理連携	❌ 含まれません	✔️ Jira、Azure DevOps、GitHub、GitLab、ServiceNow、Bitbucket、Shortcut、PagerDuty、Zendesk、ServiceDesk Plus、Freshserviceへのダウンストリームコネクタ
検出事項の拡張機能	❌ 含まれません	✔️ 自動KEV、EPSSスコアリング、ランサムウェア追跡
SOCとAppSecの統合	❌ AppSecのみに特化	✔️ AppSecとSOCの検出事項を統合
AIと次世代機能	❌ 含まれません	✔️ AI支援ワークフロー、レポート、MCPサポート
サポート	コミュニティサポート(GitHub、Slack、フォーラム)	SLA付きの商用サポート
ホスティングオプション	セルフホスト	セルフホストまたはクラウドホスト

🌐 ユニバーサルパーサー

Mon, 01 Jan 0001 00:00:00 +0000

注: ユニバーサルパーサーはDefectDojo Proでのみご利用いただけます。

ユニバーサルパーサーはすべてのDefectDojo Proインスタンスで有効になっており、特に有効化の操作は必要ありません。詳細については発表プレゼンテーションをご覧ください。

ユニバーサルパーサーについて

DefectDojoには、セキュリティチームがデータを取り込む際に役立つ、定期的に更新される豊富なパーサーライブラリがあります。しかし、ユーザーが使用しているツールがパーサーでサポートされていなかったり、パーサーとは異なる方法でDefectDojoモデルにデータをインポートしたいと考えたりする場合があります。

DefectDojoのユニバーサルパーサーは、サポートされていないレポート形式を使用しているユーザーに、あらゆるJSON、CSV、またはXMLファイルをインポートしてマッピングするための手段を提供するものです。

ユニバーサルパーサーとは:

内部ツールが生成するレポートなど、コミュニティパーサーが存在しないファイル形式を迅速にサポートする手段
コミュニティパーサーが古い場合や、希望する形式で検出事項を構造化しない場合でも、データの取り込みを支援するツール
ツールのレポートを「Generic Findings Import」スキャンタイプが想定するCSV/JSON形式に変換するためのカスタムスクリプトに代わる手段
コーディング不要、最小限の設定で誰でも簡単に使えるよう設計されたもの

ユニバーサルパーサーではないもの:

オープンソースパーサー、コネクタ、または入念に調整された「Generic Findings Import」レポートの包括的な代替手段
検出事項を構造化するための、微妙な分岐ロジックを扱える機能

ユニバーサルパーサーの設定はPro UIでのみ利用可能ですが、旧UIまたはAPI経由であれば、既存のユニバーサルパーサーを使ってスキャンをインポートすることは可能です。

Authorization Connectors

Mon, 01 Jan 0001 00:00:00 +0000

Authorization Connectorsは、DefectDojo Proが対応するすべてのIDプロバイダーと、それぞれの状態、使用しているプロトコルを1つのページにまとめて表示します。これが存在する前は、各プロバイダーはそれぞれ独自の設定フォームに存在しており、すべてを開かない限り「このインスタンスで何が設定されているか」に答える方法がありませんでした。

Authorization ConnectorsはDefectDojo Proの機能です。Connect > Authorizationにあります。IDプロバイダーの設定を表示・変更できるのはスーパーユーザーのみです。

How the page is organised

プロバイダーは2つのセクションに分かれており、それぞれ見出しの横に件数が表示され、アルファベット順に並んでいます。

Configured Providers(設定済みプロバイダー) — 現在オンになっているかどうかにかかわらず、このインスタンスで設定済みのプロバイダー
Available Providers(利用可能なプロバイダー) — サポートされているが、まだ設定されていないプロバイダー

この区分はあえてenabled(有効)ではなくconfigured(設定済み)を基準にしています。設定した後にオフに切り替えられたプロバイダーはConfigured Providersに残ります。設定した本人がそこを探すはずだからです。状態はタイル上に表示されます。

Cloud Managerの使用

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoのCloud Managerにログインすると、アカウント設定を構成し、DefectDojo Cloudのサブスクリプションを管理できます。

新規サブスクリプション

https://cloud.defectdojo.com/accounts/onboarding/step_1

このページでは、DefectDojoに新規、または追加のCloudインスタンスをリクエストできます。

サブスクリプションの管理

https://cloud.defectdojo.com/accounts/manage_subscriptions

Subscription Managementページには、現在アクティブなすべてのCloudインスタンスが表示され、各インスタンスのFirewall設定を構成できます。

Firewall設定の変更

Edit Subscriptionページで、追加したいルールのIP Address、Mask、Labelを入力します。複数のFirewallルールが必要な場合は、Add New Rangeをクリックして新しい空のルールを作成します。

ここでは、外部サービス(GitHub & Jira Cloud)にファイアウォールを開放することもできます。また、希望する場合はメニューからProceed Without Firewallを選択して、ファイアウォールを完全に無効化することもできます。

CVSSバージョンのサポート

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojoは、CVSS 4.0規格を含め、検出事項に対するCVSSメタデータをサポートしています。このページでは、どのCVSSバージョンがエンドツーエンドで保存されるか、どこで入力・閲覧できるか、そしてパーサー側のカバレッジについて何を期待すべきかを説明します。

DefectDojoが保存する内容

検出事項は以下のCVSSデータを保持できます。

バージョン	ベクター保存	スコア保存	UIベクタービルダーと計算機
CVSS v4.0	✅	✅	✅ (Pro UI)
CVSS v3 (v3.0 / v3.1)	✅	✅	✅ (Pro UI)
CVSS v2	検出事項の深刻度フィールドを通じて暗黙的に保存され、個別のv2ベクターフィールドは保存されません	N/A	N/A

各検出事項には、基盤となるモデル上に専用のcvssv3/cvssv3_scoreおよびcvssv4/ cvssv4_scoreフィールドがあります。これらはUIだけでなくAPI経由でもアクセスできます。

DefectDojo Pro インストールガイド (Kubernetes / Helm)

Mon, 01 Jan 0001 00:00:00 +0000

AWS EKS と OpenShift (ROSA) へのデプロイを対象としています。どちらもワークフローは同じです。インフラストラクチャをセットアップし、シークレットを作成し、チャートをインストールします。

DefectDojo メインダッシュボード

Mon, 01 Jan 0001 00:00:00 +0000

ダッシュボードは、DefectDojo を開いたときに最初に表示されるページであることが多いです。チームのパフォーマンスを要約し、脆弱性トラッキング環境の特定領域を監視するための追跡ツールを提供します。

💡 DefectDojo Pro: DefectDojo Pro では、ホームページは完全にカスタマイズ可能なダッシュボードです。以下で説明する固定レイアウトを使用する代わりに、ウィジェットからダッシュボードを組み立て、自分で配置できます。概念と UI の操作方法については カスタマイズ可能なダッシュボード を参照してください。このページの残りの部分では、オープンソース版のメインダッシュボードについて説明します。

ダッシュボードの構成要素

オープンソース版ダッシュボードでは、以下の組み込みコンポーネントによってセキュリティ体制の概要を把握できます。

サマリーカード

ダッシュボードの最上部の行には、アクティビティを一目で確認できる4つのサマリーカードが表示されます。

アクティブなエンゲージメント — すべての製品にわたる、現在オープン中のエンゲージメントの合計数。
過去7日間の検出事項 — 過去1週間に作成された新しい検出事項。
過去7日間にクローズ — 最近解決された検出事項。
過去7日間に受容 — 最近リスク受容された検出事項。

各カードは該当するフィルタ済みリストに直接リンクしているため、ワンクリックで詳細を確認できます。