配置指令 （Linux™ 及 macOS）

• appscan.sh prepare
• appscan.sh prepare_sca
• appscan.sh package
• appscan.sh get_pubkey

appscan.sh prepare

語法：

appscan.sh prepare -c <configuration_file> -d <save_path> -es, --enableSecrets -jdk <jdk_path> -l <log_path> -n <file_name> -nc, --noConfigFile -oso -s <value> -sco,--sourceCodeOnly -so, --secretsOnly -t,--thirdParty -v,--verbose -X,--debug

說明：

可選旗標/設定：

• -c：此選項用於配置掃描。
• -d：指定 -d <save_path>，其中 <save_path> 是您想要儲存 IRX 檔案的目錄。
• -dr, --dryrun：指定-dr or --dryrun 以探索和驗證掃描目標，但是不產生 .irx 檔案。
• -ds, --disableSecrets：指定 -ds 或 --disableSecrets 以停用機密掃描。機密掃描會在組織層級啟用或停用；在此使用 -ds 會覆寫組織設定。
• -es, --enableSecrets：指定 -es 或 --enableSecrets 以啟用機密掃描。機密掃描會在組織層級啟用或停用；在此使用 -es 會覆寫組織設定。
• -jdk：指定 -jdk <jdk_path> 以指出要用來代替預設 JDK 17 的 JDK 安裝的路徑。如果使用配置檔 (-c <configuration_file>)，且使用 jdk_path 屬性，則會優先使用配置檔中指定的值。
• -l：指定 -l <log_path>，其中 <log_path> 是您想要儲存日誌檔案的目錄。
• -n：指定 -n <file_name>，其中 <file_name> 是 IRX 檔名。指定檔名時不一定要有 .irx 副檔名。如果您指定的檔案名稱沒有副檔名，系統會在產生檔案時自動為您新增副檔名。
• -nc, --noConfigFiles：停用軟體組成分析 (SCA) 配置檔案的處理。
• -oso：指定 -oso，在 套件中只尋找已知漏洞。指定 -oso 時，則 AppScan 360° 不會在套件上執行靜態分析。
  註： 當使用者具有「開放程式碼」授權時，SCA 分析預設是靜態掃描的一部分。這個選項會限制對於 SCA 漏洞的分析。使用者必須具有「開放程式碼」授權，才能利用僅限 SCA 的分析。
• -s：指定 -s <value> 以指示掃描速度和深度，其中 <value> 為 simple、balanced、deep 或 thorough。透過指令行指定的掃描速度，會對應至可以在 AppScan Go! 中選擇的掃描速度。
  • simple 掃描會執行檔案的表面層次分析，為您識別最需要補救的緊迫問題。此類掃描完成所需的時間最短。
  • balanced 掃描提供中等層次的安全問題分析和識別，完成所需的時間比「簡易」掃描稍微久一點。
  • deep 掃描會對您的檔案執行更完整的分析，以識別漏洞，通常需要較久的時間才能完成。
  • thorough 掃描會執行全面性的分析，識別最全面的漏洞清單，因此完成所需的時間最久。
    註： 掃描速度與在程式碼中找到的漏洞數目不一定相關。例如，thorough 分析可能會排除 simple 掃描報告中的誤判，因此報告的漏洞較少。
  註： 此選用參數區分大小寫。未指定掃描速度時，「用戶端公用程式」會執行 deep 掃描作為預設值。
• -sao：指定-sao，只執行靜態分析。指定 -sao 時，AppScan 360°不會在套件上執行開放原始碼分析。
• -sco, --sourceCodeOnly：指定 -sco 或 --sourceCodeOnly 以只掃描原始碼檔案。此設定會停用掃描其他支援的檔案類型，例如 .dll、.exe、.jar、.war，還有其他檔案類型。

  原始碼掃描只有在您只有原始碼的存取權、想要執行更快速的掃描，或您相較於掃描深度偏好速度時有用。如果您只有建置輸出的存取權，或您相較於掃描速度偏好深度，請選擇替代掃描選項。

  註： 如需包含僅限原始碼檔案類型的清單，請參閱靜態分析語言支援。
• -so, --secretsOnly：指定 -so 或 --secretsOnly 以只掃描原始碼中的密碼。機密掃描會在組織層級啟用或停用；在此使用 -so 會覆寫組織設定。
• -t, --thirdParty：依預設，在 IRX 檔案產生的期間，不會掃描第三方 Java 和 .NET 程式碼。您可以遵循管理第三方 Java 和 .NET 排除中的指示來修改第三方程式碼排除設定。若要包括第三方程式碼，請在發出 prepare 指令時，指定 -t 或 --thirdParty 選項。

  如果您是通常會在掃描中排除第三方程式碼的開發人員，則應使用此設定來包含第三方程式碼。

• -v,--verbose：指定 -v 或 --verbose，以在 IRX 檔案產生期間顯示更多參考資訊輸出。
• -X,--debug：指定 -X 或 --debug，以除錯模式執行整個指令。在除錯模式下執行時，會產生較多日誌檔以便進行疑難排解。

範例：

若要產生使用此配置檔 /root/Desktop/my_config_files/my_config.xml 的 IRX 檔案，並將 IRX 檔案儲存至 /root/Desktop/my_irx_files -n my_scan.irx，請發出下列指令：

appscan.sh prepare -c /root/Desktop/my_config_files/my_config.xml -d /root/Desktop/my_irx_files -n my_scan.irx

appscan.sh prepare_sca

語法：

appscan prepare_sca -d <save_path> -l <log_path> -n <file_name> -X, -debug -container <container> -image <image>

說明：

可選旗標/設定：

• -d：指定 -d <save_path>，其中 <save_path> 是您想要儲存 IRX 檔案的目錄。
• -l：指定 -l <log_path>，其中 <log_path> 是您想要儲存日誌檔案的目錄。
• -n：指定 -n <file_name>，其中 <file_name> 是 IRX 檔名。指定檔名時不一定要有 .irx 副檔名。如果您指定的檔案名稱沒有副檔名，系統會在產生檔案時自動為您新增副檔名。
• -X,--debug：指定 -X 或 --debug，以除錯模式執行整個指令。在除錯模式下執行時，會產生較多日誌檔以便進行疑難排解。
• -container：指定 -container <container>，其中 <container> 是要分析的 Docker 容器。該值可以為儲存器名稱、儲存器摘要或本端保存的路徑。
• -image：指定 -image <image>，其中 <image> 是要分析的 Docker 影像。該值可以為影像名稱、影像摘要或本端保存的路徑。

appscan.sh package

語法：

appscan.sh package -d <save_path> -f <assessment_file> -n <file_name>

說明：

可選旗標/設定：

• -d：指定 -d <save_path>，其中 <save_path> 是您想要儲存 IRX 檔案的目錄。
• -n：指定 -n <file_name>，其中 <file_name> 是 IRX 檔名。指定檔名時不一定要有 .irx 副檔名。如果您指定的檔案名稱沒有副檔名，系統會在產生檔案時自動為您新增副檔名。

範例：

在 /root/Desktop/my_irx_files 目錄中時，您可以發出下列指令來產生 IRX 檔案（其中包含此評量檔案 /root/Desktop/my_assessment_files/my_assessment.ozasmt）：

appscan.sh package -f /root/Desktop/my_assessment_files/my_assessment.ozasmt

產生的 IRX 檔案將會儲存在 /root/Desktop/my_irx_files 中。

appscan.sh get_pubkey

語法：

appscan.sh get_pubkey -d <save_path>

說明：

下載公開加密金鑰以便用於未連接網際網路的電腦。

如果您要從連接網際網路的電腦產生 IRX 檔案，則不需要這個指令，因為在您發出 prepare 指令時會自動下載加密金鑰。如果電腦上已有加密金鑰，當您發出 prepare 指令時，系統會視需要將其更新。

然而，如果您要從未連接網際網路的電腦產生 IRX 檔案，則您可以使用這個指令下載加密金鑰。接著您可以將加密金鑰複製到未連接網際網路的電腦，以便用於產生 IRX 檔案。若要在該電腦上使用加密金鑰，您必須保留 rsa.pub 檔名，並將檔案放在解壓縮之 SAClientUtil_<version>_<os>.zip 檔案的 config 目錄中（其中 <version> 是「指令行公用程式」的現行版本）。

可選旗標/設定：

• -d：指定 -d <save_path>，其中 <save_path> 是您想要儲存加密金鑰的目錄。如果未指定這個選項，金鑰將會儲存到解壓縮 SAClientUtil_<version>_<os>.zip 檔案的 config 目錄。