CNCK0NSULTAI-Truthuni0naiHackatonipIII ↗k0nsult.dev ↗ dla botówDomeny osobne, spięte siecią CNC + kernelem.
K0NSULT // ai-truth/ipIII
k0nsult.cloud / ai-truth / ipIII / orchestrator / porownanie-vs-defectdojo

ipIII vs DefectDojo — porównanie uczciwe, nie marketing

Oba narzędzia agregują findingi bezpieczeństwa. Różnią się warstwą, na której skupiają wysiłek. DefectDojo to dojrzały, wieloletni open-source vulnerability management z bogatym ekosystemem integracji. ipIII to MVP warstwy dowodowo-regulacyjnej (chain-of-custody, legal triggers, board/regulatory pack) plus bezpieczeństwo agentów AI. Ta strona nie twierdzi, że ipIII jest „lepszy" — pokazuje, gdzie się uzupełniają i gdzie DefectDojo jest dziś bardziej dojrzały.

Porównanie (ekosystem) Connectors Remediation Regulatory Packs vs DefectDojo ← ipIII hub
Zasada tej strony. Komplementarność, nie wyższość. DefectDojo jest realnym, sprawdzonym produktem w wielu organizacjach — nie oczerniamy go i nie umniejszamy jego dojrzałości. Tam, gdzie DefectDojo robi coś lepiej lub od dawna, mówimy to wprost. Doktryna claim ≤ proof: to, co u ipIII działa, oznaczamy LIVE; to, co planowane — ROADMAP.
Ta sama kategoria wejściowa (findingi), inna warstwa wyjściowa (dowód + regulacje).

DefectDojo odpowiada na pytanie „jakie mamy podatności i jak nimi zarządzać". ipIII odpowiada na pytanie „jak z findingu zrobić dowód, który przetrwa przed zarządem, audytorem lub regulatorem — i czy ten finding uruchamia obowiązek prawny (DORA/NIS2/RODO/AI Act)". Import findingów z DefectDojo do ipIII działa dziś (LIVE) — to nie jest hipotetyczna integracja.

PRZEPŁYW KOMPLEMENTARNY: skaner (Burp/ZAP/Nessus)→DefectDojo (agregacja/triage)→import ipIII→evidence-package→legal triggers→board/regulatory pack

Co robi DefectDojo, co robi ipIII, gdzie się uzupełniają

WymiarDefectDojoipIIIGdzie się uzupełniają
Agregacja findingów Dziesiątki parserów skanerów (SAST/DAST/SCA), wieloletnia dojrzałość, duża społeczność. dojrzałe Parsery Burp/ZAP/Nessus/CSV + import z DefectDojo. LIVE (mniejszy zestaw). ipIII może czytać z DefectDojo jako źródła — nie trzeba duplikować parserów skanerów.
Deduplikacja / triage Wbudowane reguły deduplikacji, statusy, przypisania (assignee), workflow zespołowy. dojrzałe Podstawowy triage w kolejce incydentów; deduplikacja mniej rozbudowana niż w DefectDojo. gap Rekomendacja: triage w DefectDojo, potem import stanu „potwierdzony" do ipIII.
Chain-of-custody / evidence-package Nie jest głównym celem produktu; brak natywnego pakietu z hashem i łańcuchem dowodowym do zarządu. poza zakresem DefectDojo Evidence-package z sha256, manifestem i chain-of-custody w PostgreSQL. LIVE ipIII dokłada warstwę „dowód gotowy do pokazania na zewnątrz" nad danymi z DefectDojo.
Mapowanie regulacyjne (DORA/NIS2/RODO/AI Act) Brak wbudowanego silnika terminów prawnych; można ręcznie tagować, ale bez automatycznego wyzwalania. poza zakresem DefectDojo Legal Trigger Engine — decision-support, nie porada prawna; terminy orientacyjne, do weryfikacji prawnika. MVP Finding potwierdzony w DefectDojo może zasilić Legal Trigger Engine w ipIII, żeby oznaczyć potencjalny obowiązek zgłoszenia.
Board / regulatory pack Raporty metryk i eksport danych; brak gotowego szablonu „pakiet dla zarządu/regulatora" z narracją prawną. częściowo, inny cel Board pack + regulatory pack jako artefakt PDF/JSON z odwołaniem do evidence-package. LIVE Dane surowe z DefectDojo + kontekst prawny ipIII = jeden spójny pakiet wyjściowy.
Bezpieczeństwo agentów AI Nie adresuje wprost (produkt starszy niż kategoria „AI-agent security"). poza zakresem DefectDojo Testy defensywne (prompt-injection, nadużycie narzędzi) na danych syntetycznych, po RoE — opis CO testowane i JAKI dowód sukcesu, bez payloadów. MVP Osobna, nowa kategoria ryzyka — ipIII traktuje ją jako rozszerzenie tej samej doktryny evidence-first.
Integracje CI/CD i ekosystem Duży, dojrzały katalog integracji (Jenkins, GitLab, GitHub Actions, JIRA i inne), stabilne API. dojrzałe Mniejszy zestaw dziś; webhook ingestion i STIX/TAXII oznaczone jako ROADMAP. Do czasu domknięcia własnych integracji CI/CD, DefectDojo pozostaje praktycznym hubem wejściowym.
Multi-tenant / skala organizacji Wspiera wiele produktów/zespołów w jednej instalacji od dawna. dojrzałe Jedna organizacja dziś; tenant scoping + RLS oznaczone jako ROADMAP (patrz known-limitations). Do czasu multi-tenant ipIII, jeden pilot/partner na instancję.

Gdzie DefectDojo jest dziś lepszy — wprost

Dojrzałość i społeczność

DefectDojo rozwija się od lat, ma dużą bazę wdrożeń produkcyjnych i aktywną społeczność OWASP. ipIII jest dowodliwym MVP — krótsza historia, mniejsza baza wdrożeń.

Liczba integracji

Katalog parserów i integracji DefectDojo jest dziś szerszy niż ipIII. To uczciwie oznaczony obszar do dogonienia, nie ukrywany.

Workflow zespołowy

Przypisania, statusy, SLA na poziomie zespołu są w DefectDojo bardziej rozbudowane niż podstawowy triage w ipIII dzisiaj.

Gdzie ipIII dokłada wartość — z dowodem, nie deklaracją

Chain-of-custody i evidence-package

LIVE — pakiet z sha256, manifestem i łańcuchem dowodowym, gotowy do przedstawienia poza zespołem bezpieczeństwa.

Legal Trigger Engine

MVP — mapowanie findingu na potencjalne obowiązki DORA/NIS2/RODO/AI Act jako decision-support, zawsze do weryfikacji prawnika.

Board / regulatory pack

LIVE — artefakt zorientowany na odbiorcę spoza SOC: zarząd, audytor, organ nadzoru.

AI-agent security

MVP — testy defensywne agentów AI na danych syntetycznych, po RoE, wyłącznie opis testu i dowodu sukcesu.

Skrót liczbowy

1
import z DefectDojo
LIVE — nie ROADMAP
3
obszary przewagi DefectDojo
dojrzałość, integracje, workflow
4
obszary dodane przez ipIII
evidence, legal triggers, board pack, AI-agent security
0
deklaracji wyższości
porównanie = komplementarność

Rekomendowany wzorzec użycia razem

1. Skanery (Burp/ZAP/Nessus/SAST/SCA) generują surowe findingi.
2. DefectDojo agreguje, deduplikuje, przypisuje właścicieli — to jego mocna strona dziś.
3. Import do ipIII (LIVE) — finding potwierdzony trafia do warstwy dowodowej.
4. Evidence-package + Legal Trigger Engine — dowód i wstępne oznaczenie obowiązku regulacyjnego (decision-support).
5. Board / regulatory pack — jeden artefakt dla zarządu i, po weryfikacji prawnika, dla organu.

Decyzja architektoniczna: control plane, nie kolejny VM

ipIII nie konkuruje jako „kolejny agregator wyników skanów". DefectDojo pokrywa import, deduplikację, triage i raportowanie podatności i jest w tym dojrzały — nie ma sensu tego duplikować. ipIII celuje w inną warstwę: koordynację, korelację i dowód nad istniejącymi narzędziami (DefectDojo, skanery, workflow zespołowe).

              +----------------------+
              |  ipIII control plane |
              |  dowód · korelacja   |
              +----------+-----------+
                         |
        +----------------+----------------+
        |                                 |
+-------v-------+                 +-------v-------+
| Węzeł lokalny |                 | Węzeł lokalny |
| DefectDojo    |                 | Faraday       |
| skanery       |                 | narzędzia pen |
+---------------+                 +---------------+

GAP (ROADMAP) — cały ten model „control plane nad wieloma węzłami" opisuje kierunek produktu, nie stan dzisiejszy. Dziś działa pojedynczy węzeł ipIII (jedna organizacja, patrz known-limitations) — nie federacja wielu węzłów lokalnych. Diagram pokazuje architekturę docelową, nie wdrożoną topologię.

Model integracji z DefectDojo

DOWÓD — parser DefectDojo (routes/ip3-defectdojo.js) jest wpięty jako import findingów w routes/ip3-api-pro.js (endpoint POST /imports/defectdojo) i pokryty testem jednostkowym (tests/ip3-defectdojo.unit.js). To jedyny claim integracyjny na tej stronie, który ma kod + test + endpoint jednocześnie.

skaner -> węzeł lokalny (DefectDojo) -> ipIII (polityki + dowód) -> DefectDojo
                                              |
                                              +-> ticketing / SIEM / SOAR

GAP (ROADMAP) — jawnie, elementy poniżej NIE działają dziś:

Zdanie uczciwości: ipIII nie odtwarza modelu findings/engagements/products DefectDojo i nie zamierza. Model danych DefectDojo (produkty, zaangażowania, testy, findingi) pozostaje domeną DefectDojo; ipIII czyta z niego, nie próbuje go zastąpić.

Czego ipIII nie zbuduje (świadome NIE)

Poniższe elementy są świadomie poza zakresem ipIII — nie dlatego, że są trudne, ale dlatego, że kopiowanie dojrzałych funkcji konkurencji to koszt bez przewagi:

To decyzja o priorytecie obecnej fazy, nie trwały zakaz rozwoju. Zakres może zostać rozszerzony po sygnale z rynku lub decyzji nabywcy aktywa — lista poniżej mówi, gdzie dziś nie inwestujemy wysiłku.

Uzasadnienie jest proste: te obszary mają dojrzałych, sprawdzonych graczy. ipIII inwestuje wysiłek w warstwę, której żaden z nich nie adresuje wprost — dowód i decyzję regulacyjną.

Czego ta strona NIE oznacza

To nie jest test „kto wygrywa". DefectDojo i ipIII adresują częściowo różne warstwy tego samego problemu (od findingu do decyzji). Organizacja może używać obu jednocześnie — import z DefectDojo do ipIII jest do tego zaprojektowany.
„MVP" u ipIII nie znaczy „gotowe do produkcji bankowej". Elementy oznaczone MVP mają kod, test i endpoint, ale pełna lista ograniczeń (auth, transport, tenancy, PDF signing) jest jawnie opisana na known-limitations — nie ukrywamy jej w porównaniu.
Granica etyczna. Ta strona nie zawiera ocen jakości kodu DefectDojo, danych wydajnościowych ani twierdzeń o jego bezpieczeństwie — tylko opis zakresu funkcjonalnego na podstawie publicznie znanej roli produktu w kategorii vulnerability management. Wszelkie testy AI-agent security opisane wyżej dotyczą wyłącznie ipIII, są defensywne, na danych syntetycznych i w granicach pisemnych Rules of Engagement.

Powiązane: pełna analiza ekosystemu narzędzi bankowych → /porownanie · konektory (parsery + import DefectDojo) → /connectors · remediation i retest → /remediation · pakiety regulacyjne → /regulatory-packs · ipIII vs Faraday (workspace pentestowy) → /porownanie-vs-faraday · przegląd produktu ipIII → /przeglad-produktu.