カスタム・コンプライアンス・ポリシーの作成

必要な権限があれば、独自のカスタム・コンプライアンス・ポリシーを作成したり削除したりできます。

カスタム・コンプライアンス・ポリシーを定義するには、JSON 式ツリーを使用します。式ツリーは、単一の基本式、または論理演算 (And, Or, Not) を含む複数の式で構成できます。各基本式は、事前定義された関数とそのパラメーター (必要な場合) から構成されます。パラメーター値は、コンプライアンス・ポリシーの作成時に設定することも、$ を使用して未定義のままにしておくこともできます。パラメーターを未定義にすると、ユーザーはコンプライアンス・ポリシーをアプリケーションに関連付けるときに値を指定する必要があります。

注: ユーザー・インターフェースで使用するコンプライアンス・ポリシーを作成する場合、すべてのパラメーターを定義する必要があります。そうしなければ、コンプライアンス・ポリシーをアプリケーションに関連付けることができません。

カスタム・コンプライアンス・ポリシーを作成する利点の 1 つは、パラメーターをコンプライアンス・ポリシーにハードコーディングできることです。その結果、ユーザーは毎回パラメーターを定義しなくてもコンプライアンス・ポリシーを使用できます。例えば、事前定義されたベースライン・コンプライアンス・ポリシーを使用して、開始日を指定した一連のカスタム・コンプライアンス・ポリシーを作成できます。

事前定義された関数

コンプライアンス・ポリシーでは、以下の事前定義された関数を使用できます。


関数	パラメーター	説明
`StartDate`	以下のいずれかの形式で日付を指定します (時刻を含めることもできます)。 `yyy-MM-dd` `yyyy-MM-ddThh:mmZ` (UTC) `yyyy-MM-ddThh:mm+hh:mm` (現地時間 +/- UTC オフセット)	指定された日付 (および時刻) 以降に検出された問題を返します。例: 日付のみ 2018-04-24 UTC 時 2018-04-24T10:30Z 現地時間 +/- UTC オフセット 2018-04-24T11:30+01:00 2018-04-24T07:30-03:00
`MinSeverity`	以下の形式で重大度を指定します。情報低中高重大	パラメーターに指定された重大度以上の問題を返します。
`OwaspTop10_2017`	該当なし	OWASP でトップ 10 のセキュリティー・リスクとして定義されている問題を返します。
`SansTop25`	該当なし	SANS Institute でトップ 25 の重大エラーとして定義されている問題を返します。
`EUGdpr_2016`	該当なし	アプリケーションが GDPR に準拠しない原因となる問題を返します。
`CWE`	CWE ID のリスト	指定された CWE ID に対応する問題を返します。
`PCI`	該当なし	アプリケーションが PCI データ・セキュリティー基準に準拠しない原因となる問題を返します。
`HIPAA`	該当なし	アプリケーションが HIPAA に準拠しない原因となる問題を返します。
`Technology`	有効な技術: DAST SAST IAST SCA	指定された技術に対応する問題を返します。

ユーザー・インターフェースを使用したカスタム・コンプライアンス・ポリシーの作成

カスタム・コンプライアンス・ポリシーを作成するには、次の手順を実行します。

ダッシュボードで「コンプライアンス・ポリシー」をクリックし、「カスタム・コンプライアンス・ポリシーの追加」をクリックします。

コンプライアンス・ポリシーに名前を付け、JSON 式として定義します。

注: インターフェースを使用してコンプライアンス・ポリシーをアプリケーションに関連付ける予定の場合、コンプライアンス・ポリシーを関連付けるときにパラメーターを定義することはできないため、コンプライアンス・ポリシーの作成時にすべてのパラメーターを定義する必要があります。API を使用してコンプライアンス・ポリシーをアプリケーションに関連付ける予定の場合は、パラメーターを未定義のままにして、関連付ける際に値を定義できます。

例 1: カスタム・ベースライン・コンプライアンス・ポリシー

{  
   "Function":"StartDate",
   "Parameters":[  
      "2017-12-31T13:50Z"
   ]
}

例 2: カスタム CWE コンプライアンス・ポリシー

{  
   "Function":"CWE",
   "Parameters":[  
      89,
      90
   ]
}

例 3: 複合カスタム・コンプライアンス・ポリシー

{  
   "Operation":"And",
   "Expressions":[  
      {  
         "Function":"StartDate",
         "Parameters":[  
            "2018-04-24T10:30Z"
         ]
      },
      {  
         "Function":"MinSeverity",
         "Parameters":[  
            "Medium"
         ]
      }
   ]
}

例 4: CWE 89 と 90 を除外するカスタム・コンプライアンス・ポリシー

{
    "Operation": "Not",
    "Expressions": [
        {
            "Function": "CWE",
            "Parameters": [
                89,
                90
            ]
        }
    ]
}

例 5: CWE 89 と 90 を除外するカスタム OWASP トップ 10 コンプライアンス・ポリシー

{
    "Operation": "And",
    "Expressions": [
        {
            "Operation": "Not",
            "Expressions": [
                {
                    "Function": "CWE",
                    "Parameters": [
                        89,
                        90
                    ]
                }
            ]
        },
        {
            "Function": "OwaspTop10_2017"
        }
    ]
}

例 6: 技術に基づいて問題をフィルタリングするカスタム・コンプライアンス・ポリシー

{
   "Function": "Technology",
   "Parameters": [
      "DAST",
      "SAST"
    ]
}

完了したら、「閉じる」をクリックします。

REST API を使用したカスタム・コンプライアンス・ポリシーの作成

REST API では、式ツリーを使用してコンプライアンス・ポリシーを定義します。式ツリーは、単一の基本式、または論理演算 (And, Or, Not) を含む複数の式で構成できます。各基本式は、事前定義された関数とそのパラメーター (必要な場合) から構成されます。パラメーター値は、コンプライアンス・ポリシーの作成時に設定することも、$ を使用して未定義のままにしておくこともできます。パラメーターを未定義にすると、ユーザーはコンプライアンス・ポリシーをアプリケーションに関連付けるときに値を指定する必要があります。

例 1: カスタム・ベースライン・コンプライアンス・ポリシー

{
    "Name": "Baseline",
    "Predefined": true,
    "Expression": {
      "Function": "StartDate",
      "Parameters": [
        "$DATE"
      ]
    }
}

例 2: カスタム CWE コンプライアンス・ポリシー

{
   "Name": "CWE policy",
   "Expression": {
     "Function": "CWE",
     "Parameters": [
       89,
       90
     ]
   }
}

例 3: 複合カスタム・コンプライアンス・ポリシー

このカスタム・コンプライアンス・ポリシーの例では、関数 StartDate と MinSeverity が演算 And で組み込まれており、指定された日付以降に検出され、指定された最小重大度の問題のみが含まれるようになっています。

  {
    "Name": "MyPolicy",
    "Predefined": false,
    "Expression": {
      "Operation": "And",
      "Expressions": [
        {
          "Function": "StartDate",
          "Parameters": [
            "2018-04-24T10:30Z"
          ]
        },
        {
          "Function": "MinSeverity",
          "Parameters": [
            "$minseverity"
          ]
        }
      ]
    }
  }

例 3: 技術に基づいて問題をフィルタリングするカスタム・コンプライアンス・ポリシー。DAST スキャンと SAST スキャンの問題のみがリスト表示されます。

{ 
    "Name": "Tech Filter", 
    "Expression": { 
        "Function": "Technology", 
        "Parameters": [ 
            "DAST", 
            "SAST" 
        ]
    } 
}