导入数据 on DefectDojo Documentation

导入扫描表单

Mon, 01 Jan 0001 00:00:00 +0000

一旦您的产品层级结构中至少设置了一个产品类型、产品、测试和测试活动，您就可以将扫描文件导入 DefectDojo 并创建发现项。

在 DefectDojo 中重新组织产品层级结构很容易，所以如果您现在还不确定该如何设置也没关系。

目前，您需要了解的是测试活动可以存储来自多个工具的数据，如果您在一次测试工作中同时运行多种不同的工具，这会很有用。

访问导入扫描表单（经典 UI / 开源版）

在 DefectDojo OS 中，您可以从以下两个位置访问此表单：

测试活动的测试部分：
产品导航栏的发现项部分：

填写导入扫描表单

导入扫描表单会在某个测试活动下创建一个新的测试，其中将包含扫描文件中每个漏洞对应的唯一发现项。

添加发现项表单

Mon, 01 Jan 0001 00:00:00 +0000

如果您使用的是全新的 DefectDojo 实例，导入扫描表单是学习该软件并搭建环境的合理的第一步。通过此表单，您可以上传受支持工具生成的扫描文件，系统会据此创建代表这些漏洞的发现项。在填写表单时，您可以决定：

将这些发现项存储在现有的产品类型 / 产品 / 测试活动下，或
创建新的产品类型 / 产品 / 测试活动来存储这些发现项

在 DefectDojo 中重新组织产品层级结构非常容易，所以即使您现在还不确定该如何设置也没关系。

现在您只需了解，测试活动可以存储来自多个工具的数据，如果您在一次测试工作中同时运行多个不同的工具，这会很有用。

访问导入扫描表单（Pro 界面）

导入扫描表单可通过多个位置访问：

从 GitHub Actions 导入

Mon, 01 Jan 0001 00:00:00 +0000

官方 DefectDojo Action 可在 GitHub Actions 工作流中将扫描报告导入 DefectDojo。它同时适用于 DefectDojo Pro 和开源版，并可读取 DefectDojo 支持的所有报告格式，包括 SARIF。

每次运行都会重新导入到同一个测试中，因此扫描器不再报告的发现项会被关闭，且每个发现项都会保留其历史记录。该 Action 会在测试上记录构建、分支、提交和仓库信息，并且当所选严重程度的发现项仍处于活动状态时，可以让工作流步骤失败。

开始之前

为有权导入到该资产（如果您允许 Action 创建资产，则还需有权创建资产）的用户创建 API v2 密钥。该密钥位于用户菜单中的 API v2 Token 下（在开源版界面中为 API v2 Key）。
在 GitHub 仓库中，将该密钥添加为名为 DEFECTDOJO_API_TOKEN 的 secret，位置为 Settings > Secrets and variables > Actions。

将 Action 添加到工作流

先运行您的扫描器，然后将其报告传递给该 Action：

端点元数据导入器

Mon, 01 Jan 0001 00:00:00 +0000

端点元数据导入器允许您使用 CSV 文件一次性为大量端点应用标签和自定义字段。这对于运行大规模基础设施扫描的组织尤其有用，因为这些端点需要灵活的元数据以便进行过滤、排序和报告。

CSV 格式

CSV 文件必须包含一个 hostname 列（必填），此外还可以有任意数量的附加列，代表您想要应用的标签或自定义字段。每个附加列的列名将成为标签/字段的键，其行值将成为标签/字段的值。

示例：

hostname,team,public_facing
sheets.google.com,data analytics,yes
docs.google.com,language processing,yes
feedback.internal.google.com,human resources,no

这将应用以下元数据：

Endpoint	Tags / Custom Fields
`sheets.google.com`	`team:data analytics`, `public_facing:yes`
`docs.google.com`	`team:language processing`, `public_facing:yes`
`feedback.internal.google.com`	`team:human resources`, `public_facing:no`

要求

hostname 列为必填项。系统会用它来查找主机名匹配的现有端点，若未找到匹配项则创建新端点。
其他所有列名都会被视为标签/自定义字段的键。
值以 key:value 格式存储。

使用端点元数据导入器

在查看某个产品时，端点元数据导入器可从端点选项卡访问。在此处上传您的 CSV 文件，即可批量为端点应用元数据。

通过 API 导入

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo 的 API 支持构建健壮的流水线解决方案，能够自动将新的扫描结果摄取到您的实例中。此类自动化通常有以下几种形式：

每日导入：每天扫描您的环境，然后将扫描结果导入 DefectDojo（类似于我们的连接器功能）
CI/CD 流水线：在新代码部署时对其进行扫描，并将结果作为触发操作导入 DefectDojo

这些流水线可以通过直接调用我们的 API /reimport 端点并附加扫描文件来创建，其方式与我们的导入扫描表单非常相似。

在 GitHub Actions 工作流中，官方 DefectDojo Action 会替您调用此端点。请参阅从 GitHub Actions 导入。