如何将 minIO（例如 Nmap、Nikto、Sslyze、Zap）的扫描输出上传到 OWASP DefectDojo

Question

我在将 minIO securecodebox 输出的结果上传到 OWASP DefectDojo 时遇到问题。

错误截图 https://drive.google.com/file/d/1PqVOazjr7r_1oMPf6SQsh8_iPFgnqkjC/ view?usp=sharing

我尝试遵循这些步骤 https://github.com/DefectDojo/django- DefectDojo/blob/dev/readme-docs/KUBERNETES.md 然后 https://docs.securecodebox.io/docs/hooks/defectdojo/

这个是扫描仪的链接 https://github.com/secureCodeBox/secureCodeBox/tree/main/scanners

错误：

2022-03-07 07:23:54 INFO DefectDojoPersistenceProvider:35 - 下载扫描结果提供程序 2022-03-07 07:23:56 INFO DefectDojoPersistenceProvider:39 - 将结果上传到 DefectDojo：http: //defectdojo.default.minikube.local:8080/ tDojo 位于：http://defectdojo.default.minikube.local:8080/ 线程“main”中出现异常 org.springframework.web.client.ResourceAccessException：“http://defectdojo.default.minikube.locarr”的 GET 请求出现 I/O 错误，“http://defectdojo.default.minikube”的 GET 请求出现 I/O 错误.local:8080/api/v2/users/": defectdojo.default.minikube.local; 嵌套异常是 java.net.UnknownHostException: defectdojo.default.minikube.local 在 org.springframework.web.client.RestTemplate.doExecute(RestTemplate.java:785) 在 org.springframework.web.client.RestTemplate.execute(RestTemplate.java:751) rnalSearch(GenericDefectDojoService.java:151) 在 org.springframework.web.client.RestTemplate.exchange(RestTemplate.java:621) ch(GenericDefectDojoService.java:167) 在 io.securecodebox.persistence.defectdojo.service.GenericDefectDojoService.intechUnique(GenericDefectDojoService.java:187)rnalSearch(GenericDefectDojoService.java:151) ionedEngagementsStrategy.java:82) 在 io.securecodebox.persistence.defectdojo.service.GenericDefectDojoService.search(GenericDefectDojoService.java:167) 在 io.securecodebox.persistence.defectdojo.service.GenericDefectDojoService.searchUnique（GenericDefectDojoService.java:187） 在 io.securecodebox.persistence.strategies.VersionedEngagementsStrategy.run（VersionedEngagementsStrategy.java:82） 在 io.securecodebox.persistence.DefectDojoPersistenceProvider.main（DefectDojoPersistenceProvider.java:42） 引起原因：java.net.UnknownHostException：defectdojo.default.minikube.local 在 java.base/java.net.AbstractPlainSocketImpl.connect(AbstractPlainSocketImpl.java:229) 在 java.base/java.net.Socket.connect(Socket.java:609) 在 java.base/java.net.Socket.connect(Socket.java:558) 在 java.base/sun.net.NetworkClient.doConnect(NetworkClient.java:182) 在 java.base/sun.net.www.http.HttpClient.openServer(HttpClient.java:474) 在 java.base/sun.net.www.http.HttpClient.openServer(HttpClient.java:569) 在 java.base/sun.net.www.http.HttpClient.(HttpClient.java:242) 在 java.base/sun.net.www.http.HttpClient.New(HttpClient.java:341) 在 java.base/sun.net.www.http.HttpClient.New(HttpClient.java:362) 在 java.base/sun.net.www.protocol.http.HttpURLConnection.getNewHttpClient(HttpURLConnection.java:1253) 在 java.base/sun.net.www.protocol.http.HttpURLConnection.plainConnect0(HttpURLConnection.java:1187) 在 java.base/sun.net.www.protocol.http.HttpURLConnection.plainConnect(HttpURLConnection.java:1081) 在 java.base/sun.net.www.protocol.http.HttpURLConnection.connect(HttpURLConnection.java:1015) 在org.springframework.http.client.SimpleBufferingClientHttpRequest.executeInternal（SimpleBufferingClientHttpRequest.java:76） 在org.springframework.http.client.AbstractBufferingClientHttpRequest.executeInternal（AbstractBufferingClientHttpRequest.java:48） 在 org.springframework.http.client.AbstractClientHttpRequest.execute(AbstractClientHttpRequest.java:66) 在 org.springframework.web.client.RestTemplate.doExecute(RestTemplate.java:776) ... 7 更多

谢谢您的回复！

Answer 1

有一个专用的 DefectDojo Hook 可以为您完成此操作。
您只需使用一些基本配置安装在集群上即可。

安装 DefectDojo persistenceProvider 挂钩会将 ReadAndWrite Hook 添加到您的命名空间。

kubectl 创建秘密通用缺陷dojo-credentials --from-literal="username=admin" --from-literal="apikey=08b7..."

helm 升级 --install dd secureCodeBox/persistence-defectdojo
--set="defectdojo.url=https://defectdojo-django.default.svc"

该挂钩会自动将扫描结果导入到 DefectDojo 中的参与中。如果参与不存在，则挂钩将创建参与（CI/CD 参与）及其所需的所有对象（产品和产品类型）。然后，该钩子将从 DefectDojo 中提取导入的信息，并使用它们替换 secureCodeBox 内的发现结果。

更多https://docs.securecodebox.io/docs/hooks/defectdojo