DefectDojo 文档 on DefectDojo Documentation

关于连接器

Tue, 14 Jul 2026 00:00:00 +0000

注意：连接器是 DefectDojo Pro 专属功能。

连接器（Connectors） 是 DefectDojo Pro UI 中的统一入口，用于管理 DefectDojo 与之通信的所有工具（无论数据流向哪个方向）。它合并了此前在不同位置分别配置的两项功能：

上游连接器（Upstream Connectors）（原名 API Connectors）从您的扫描器和安全工具中拉取发现项和资产清单。
下游连接器（Downstream Connectors）（原名 Integrations）将发现项推送到您的问题跟踪系统和工单系统。

如果将 DefectDojo 视为您安全数据的枢纽，那么上游连接器就是数据流入的方式，下游连接器则是修复工作流出的方式。

功能对比

Tue, 02 Feb 2021 20:46:29 +0100

DefectDojo 开源版是一个强大的免费漏洞管理平台，具备核心导入、去重、基础仪表板、API 访问和基本报告功能——非常适合较小的团队，或希望自行托管并借助社区资源扩展该工具的用户。

DefectDojo Pro 在此基础上进一步构建了面向企业的功能，例如高级仪表板与报告、通过规则引擎实现的自动化与脚本编写、与众多安全工具对接的连接器、优化的导入工作流、统一的 SOC 与 AppSec 支持、改进的 UI/UX、AI 集成、增强的安全性（SSO/MFA）以及高级支持选项。

Feature / Capability	DefectDojo Open-Source	DefectDojo Pro
核心漏洞管理	✔️ 从 500 多种安全工具导入、跟踪并管理发现项	✔️ 涵盖开源版全部功能，并针对规模化场景进行了优化
发现项去重	✔️ 标准去重	✔️ 高级、可配置的去重
REST API	✔️ 完整 REST API	✔️ 完整 REST API
身份验证与访问控制	✔️ 本地账户与按资产划分的访问列表	✔️ SSO（SAML、OIDC、OAuth）、LDAP、MFA、基于角色的访问控制
用户界面	✔️ 社区版 UI	✔️ 现代化 Pro UI，性能有所提升
仪表板与报告	✔️ 基础仪表板与报告	✔️ 高级、可自定义的仪表板与高管报告
自动化与工作流	❌ 不包含	✔️ 规则引擎与自动化工作流
导入增强	❌ 仅支持标准导入	✔️ 后台导入、智能上传、通用解析器、CLI 上传
工具集成	❌ 手动/基于 API	✔️ 内置上游连接器，对接主流 AppSec 与云工具
Jira 集成	✔️ 已包含	✔️ 已包含
项目管理集成	❌ 不包含	✔️ 下游连接器，对接 Jira、Azure DevOps、GitHub、GitLab、ServiceNow、Bitbucket、Shortcut、PagerDuty、Zendesk、ServiceDesk Plus 和 Freshservice
发现项增强	❌ 不包含	✔️ 自动 KEV、EPSS 评分与勒索软件跟踪
SOC 与 AppSec 统一	❌ 仅面向 AppSec	✔️ 统一的 AppSec 与 SOC 发现项
AI 与下一代功能	❌ 不包含	✔️ AI 辅助工作流、报告与 MCP 支持
支持	社区支持（GitHub、Slack、论坛）	具有 SLA 保障的商业支持
托管选项	自行托管	自行托管或云托管

关于 DefectDojo

Tue, 02 Feb 2021 20:46:29 +0100

DefectDojo, Inc. 及开源贡献者共同维护本文档，以支持 DefectDojo 的社区版和 Pro 版。

什么是 DefectDojo？

DefectDojo 是一个开发者安全运营（DevSecOps）平台。DefectDojo 通过充当您整套安全工具的自动聚合器来简化 DevSecOps 流程，让您可以轻松组织安全工作，并向其他利益相关者报告组织的安全态势。

自托管 DefectDojo Pro

Tue, 02 Feb 2021 20:46:29 +0100

DefectDojo Pro 可以完全自托管在您自己的环境中，让您掌控自己的基础设施、数据和安全态势。它适用于因合规性、数据驻留或内部安全要求而无法使用托管部署的组织，并且提供与云托管产品相同的功能。

本页介绍可用的部署模式、开始之前您需要准备的内容，以及本节其余部分的组织方式。

两种部署模式

在单台主机上使用 Docker Compose 是两种模式中较为简单的一种。应用程序、异步工作进程和缓存都运行在同一台机器上，由我们提供的命令行工具进行管理。由于这种方式中没有任何组件可以横向扩展，主机的规格必须按照峰值而非平均负载来配置，而对于大多数部署而言，峰值出现在有人正在使用界面的同时导入了大型扫描结果的时候。

使用我们的 Helm chart 部署 Kubernetes，会将这些相同的组件作为独立的工作负载运行。这样您就可以按稳定状态进行配置，并在负载到来时增加副本，还可以只扩展实际繁忙的部分，而不必扩展整台机器。

两种模式都使用 PostgreSQL。对于生产环境，我们建议使用外部托管数据库，这也是 Helm chart 默认的假设方式。Compose 工具也可以在容器中与应用程序一起运行 PostgreSQL，这对评估而言很方便，但不适合用于生产数据。

🌐 通用解析器

Mon, 01 Jan 0001 00:00:00 +0000

注意：通用解析器仅在 DefectDojo Pro 中提供。

通用解析器在每个 DefectDojo Pro 实例中都已启用；无需进行任何操作即可使用。有关更多信息，请参阅我们的发布演示。

关于通用解析器

DefectDojo 拥有一个庞大且定期更新的解析器库，用于帮助安全团队摄取数据。但是，有时用户使用的工具并不受这些解析器支持，或者他们可能希望以不同于现有解析器的方式将数据导入 DefectDojo 模型。

DefectDojo 的通用解析器旨在为使用不受支持的报告类型的用户提供一条前进之路，以导入和映射任何 JSON、CSV 或 XML 文件。

CVSS 版本支持

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo 支持在发现项上使用 CVSS 元数据，包括 CVSS 4.0 标准。本页介绍哪些 CVSS 版本会被端到端存储、您可以在何处录入或查看它们，以及解析器方面的覆盖情况。

DefectDojo 存储的内容

发现项可以携带以下 CVSS 数据：

版本	是否存储向量	是否存储分数	UI 向量构建器与计算器
CVSS v4.0	✅	✅	✅（专业版 UI）
CVSS v3（v3.0 / v3.1）	✅	✅	✅（专业版 UI）
CVSS v2	通过发现项的严重程度字段隐式存储；不存储单独的 v2 向量字段	不适用	不适用

每个发现项在底层模型上都有专门的 cvssv3 / cvssv3_score 以及 cvssv4 / cvssv4_score 字段。这些字段既可以通过 API 访问，也可以通过 UI 访问。

DefectDojo Pro 安装指南 (Kubernetes / Helm)

Mon, 01 Jan 0001 00:00:00 +0000

涵盖在 AWS EKS 和 OpenShift (ROSA) 上的部署。两种平台的工作流程相同：搭建基础设施、创建密钥、安装 Chart。

DefectDojo 主仪表板

Mon, 01 Jan 0001 00:00:00 +0000

仪表板很可能是您打开 DefectDojo 时看到的第一个页面。它汇总了您团队的整体表现，并提供跟踪工具，用于监控您的漏洞跟踪环境中的特定领域。

💡 DefectDojo Pro： 在 DefectDojo Pro 中，首页是一个完全可自定义的仪表板——您可以通过小组件自行构建并排列布局，而不是使用下文所述的固定布局。有关概念说明和界面演示，请参阅**可自定义仪表板**。本页其余部分介绍的是开源版的主仪表板。

仪表板组件

开源版仪表板通过以下内置组件，为您提供安全态势的高层级概览：

摘要卡片

仪表板顶部一行显示四张摘要卡片，让您一目了然地了解活动概况：

活动测试活动 — 所有产品中当前处于开放状态的测试活动总数。
过去 7 天发现项 — 过去一周内新创建的发现项。
过去 7 天已结项 — 近期已解决的发现项。
过去 7 天已接受 — 近期风险已接受的发现项。

每张卡片都直接链接到相应的筛选列表，您可以一键深入查看详情。

Jira（旧版）

Mon, 01 Jan 0001 00:00:00 +0000

本页介绍的是旧版 Jira 集成。 这里所述的按产品配置的 Jira 集成已被 Jira 下游连接器 取代；该连接器目前已在每个 DefectDojo Pro 实例上全面提供，是将发现项推送到 Jira 的推荐方式。因此，在 Pro 侧边栏中，Connect > Jira 带有 LEGACY 徽章——详见菜单徽章。

SAML 配置

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 支持通过 Enterprise Settings 界面进行 SAML 身份验证。开源版 DefectDojo 不包含单点登录（SSO）功能——有关开源版的访问控制，请参阅已授权用户。

ACS URL (Assertion Consumer Service)

您的身份提供程序需要知道在用户完成身份验证后应将 SAML 响应 POST 到哪里。DefectDojo 的 ACS URL 为：