Jenkins 自動化サーバーへのセキュリティー分析の追加

• 「スキャン・タイプ」: 対象のサイトが「ステージング」サイト (開発中) か「実動」サイト (稼働中で使用中) かを選択します。
• 最適化: 「最適化なし」 (長時間での、通常の詳細スキャン。脆弱性範囲最大。これがデフォルトです)、「高速」 (最大 2 倍高速。脆弱性範囲最大 97%)、「より高速」 (最大 5 倍高速。脆弱性範囲最大 85%)、「最速」 (最大 10 倍高速。脆弱性範囲最大 70%) のいずれかでスキャンを実行するかどうかを指定します。
• 「Presence ID」: アプリがインターネット上にない場合、AppScan Presence ID を入力します。AppScan プレゼンス の作成については、こちらをご覧ください。
• 「スキャン・ファイル」: AppScan 標準スキャン・ファイルがある場合は、このフィールドに絶対パスとファイル名を入力します。AppScan 標準スキャン・ファイルについて詳しくは、このトピックを参照してください。

• アプリケーション・ログイン: 認証が必要なページを AppScan on Cloud でスキャンできるようにするログイン情報を指定します。
  • 追加の認証が不要な場合は、「ログインは不要です」を選択します。
  • 「ログインが必要です: ユーザー名とパスワード」を選択し、有効なユーザー資格情報をページに入力します。
    • ログイン・ユーザー: 有効なユーザー名。
    • ログイン・パスワード: 有効なパスワード。
    • 追加の資格情報: 3 つ目のログイン資格情報 (サイトで必要な場合)。
  • 「ログインが必要です: ログインの記録」を選択し、記録されたログイン手順をページに設定します。「ログイン手順ファイル」のログイン手順データ・ファイルのパスの詳細を示します。AppScan は、このようなファイルの dast.config ファイル・タイプをサポートしています。

オープン・ソースのテストについては、ソフトウェア・コンポジション分析 (SCA) についてを参照してください。

• スキャン方法:
  • IRX の生成: 指定したファイルとフォルダーから IRX アーカイブをローカルに生成します。 「追加オプション」チェック・ボックスを選択すると、以下のオプション設定も使用できるようになります。
    • ソース・コードのみ: ソース・コードのみを解析するかどうかを選択します。
    • SCA を含める: オープン・ソース・パッケージの分析を含めます。「SCA を含める」は、SAST スキャンに加えて SCA スキャンを作成します。

    • スキャン速度: 開発段階に応じてスキャンの速度と結果を最適化します。開発ライフサイクルの初期段階で高速スキャンを選択して、基本的なセキュリティー問題を特定します。サイクルの後半で徹底的なスキャンを選択すると、アプリケーションが完全にカバーされます。
      • 通常: コードの完全な分析を実行し、脆弱性を詳細に特定し、誤検出として報告される可能性のある問題を区別します。このスキャンは、完了するまでに最も時間がかかります。
      • 高速: ファイルの包括的な分析を実行して脆弱性を特定し、「より高速」または「最速」スキャンよりも時間がかかります。
      • より高速: セキュリティー問題の分析と特定の中レベルの詳細を提供します。このスキャンは、「最速」オプションよりも完了するのに時間がかかります。
      • 最速: ファイルの表面レベルの分析を実行して、修復の最も差し迫った問題を特定します。最小限の時間で完了できます。
  • ファイルとフォルダーのアップロード: ファイルとフォルダーを AppScan に直接アップロードして、スキャンの準備を迅速に行い、処理を高速化します。「追加オプション」チェック・ボックスを選択すると、このオプション設定も使用できるようになります。
    • SCA を含める: オープン・ソース・パッケージの分析を含めます。「SCA を含める」は、SAST スキャンに加えて SCA スキャンを作成します。