セキュリティーの目的は、貴重な資産を保護することです。組織が所有する最も重要な資産のいくつかは、知的財産、戦略計画、顧客データなど、情報の形をとるものです。この情報を保護することは、組織の業務の継続、競争力の維持、および法規制要件への適合に不可欠です。

有効なサブスクリプションを持ち、各種権限のある ASoC ユーザーのさまざまな ASoC タスクとワークフローについて説明します。

最近追加された機能をご確認ください。

ASoC アナライザーのシステム要件およびサポートされているオペレーティング・システムと言語。また、このサービスでサポートされるブラウザーと最小解像度について説明します。

「マイサブスクリプション」には、お客様の組織のすべてのサブスクリプションの状況 (アプリケーションまたはスキャンの残数、開始日と終了日など) が表示されます。

以下のサンプル・アプリケーションを使用して、ASoC によるスキャンをお試しください。

これらの「ハウツー」ビデオでは、ASoC の使用方法と、このサービスがどのようにワークフローに適合するかを説明するとともに、ヒントや秘訣を紹介しています。

人材およびオンライン・リソースへの便利なリンク。

HCL AppScan on Cloud サービス試用版契約

「アプリケーション」ページには、組織で自分が割り当てられている資産グループ内にあるすべてのアプリケーションがリストされます。「アプリケーション」ページでは、新しいアプリケーションを作成し、個々のアプリケーション・ページを開くことができます。

このビューには、すべてのアプリケーション内のすべてのスキャンおよびセッションがリストされます。

アプリケーションに関連付けられたオープン・ソース・ライブラリーに対して検索、レビュー、アクションを実行します。

メイン・ダッシュボードは、メイン・メニュー・バーの 4 番目の項目です。アクティブな問題、MTTR の問題、アプリケーション、およびスキャンの詳細な概要をグラフとチャートで表示し、アプリケーションの全体的な状態を表示します。

組織は、ポリシー、ドメイン、設定、サブスクリプション、監査証跡を管理するための重要なハブです。すべての管理と整理を行います。

ユーザー管理により、重要なアプリケーションを資産グループに割り当てて特定のユーザーをそうしたグループに追加することで、そのようなアプリケーションへのアクセスを制御することができます。

アプリケーションは、同じプロジェクトに関連するスキャンのコレクションです。Web サイト、デスクトップ・アプリ、モバイル・アプリ、Web サービス、アプリの任意のコンポーネントなどが対象になる可能性があります。「アプリケーション」では、リスクを評価したり、傾向を把握したり、プロジェクトが業界や組織のポリシーに準拠していることを確認したりできます。

事前定義されたポリシーや独自のカスタム・ポリシーを適用して、自分に関連する問題のデータのみを表示できます。

ソフトウェア開発ライフサイクルの ASoC の組み込み用ツール。

個人スキャンは、アプリケーション全体のスキャン・データ (問題など) やコンプライアンスに影響を与えることなく、開発中のアプリケーションの相対的なセキュリティーを評価する方法です。

監査証跡 (「組織」 > 「監査証跡」) は、ユーザー・アクティビティを記録します。

ASoC の動的 (DAST) スキャンは、次の 2 つのステージで構成されています。探査およびテスト。スキャン・プロセスのほとんどはユーザーにとってシームレスで、スキャンが完了するまで入力は必要ありませんが、動的スキャンの仕組みを把握すると、開発プロセスにおけるスキャンの役割の理解を深めることができます。

ASoC ブラウザーまたは Web API で実行されるアプリケーションの動的分析を実行できます。ASoC で利用可能な設定オプションを使用するか、AppScan Standard の設定 (テンプレート・ファイル) またはフル・スキャン・ファイルをアップロードします。

サーバーで AppScan Presence を使用すると、インターネットからアクセスできないサイトをスキャンしたり、機能テストの一環としてスキャンを組み込んだりできます。

トラフィックは、AppScan Activity Recorder ブラウザー拡張機能 (Chrome または Edge 用)、HCL AppScan Traffic Recorder プロキシー・サーバー、または AppScan Standard を使用して、DAST スキャンの探査データとして記録できます。

HCL AppScan Traffic Recorder (DAST プロキシー) では、トラフィックを記録して探査データとして使用できます。要求に応じてトラフィック・レコーダー・インスタンスを作成して、後で DAST スキャンに使用されるトラフィックを記録できます。

IAST Total (インタラクティブ・アプリケーション・セキュリティー・テスト) は、IAST の機能を利用して動的分析 (DAST) スキャンを強化し、スキャン時間と修復時間を短縮しながら、より広範な脆弱性を明らかにします。

サーバー上の AppScan Presence を使用することで、インターネットからアクセスできないサイトをスキャンできます。

ASoC は、通常のアプリケーション・ランタイム動作を監視し、脆弱性を検出できます。

アプリケーション・サーバーに IAST エージェントをデプロイし、スキャンを設定します。

IAST エージェントがアプリケーションとの通信を監視し、ASoC にレポートできるように、アプリケーション・サーバーに IAST エージェントをデプロイします。

AppScan は、Kubernetes クラスターへの IAST エージェントの自動インストールをサポートしています。MutatingAdmissionWebhook を使用すると、IAST エージェントはすべての開始ポッドに自動的にインストールされます。

IAST エージェントを使用して、Azure App Service で実行されるアプリケーションを監視します。

REST API により、エージェントの配置など、IAST スキャンを構成および開始します。

デフォルトの IAST 設定をオーバーライドして、把握したい脆弱性のみをレポートするように JSON ファイルを構成します。

一部の低レベルの IAST 動作は、ユーザー・パラメーターを使用して制御できます。

インタラクティブ (IAST) スキャン・エントリーには、前回のスキャンが開始された後の結果が示されます。

ソフトウェア・コンポジション分析 (SCA) は、コードで使用されるオープン・ソース・パッケージおよびサードパーティー・パッケージを検索して分析します。

オープン・ソース・テストを実行する場合に、ASoC でスキャン可能なファイルのタイプ。

オープンソース・ライブラリおよびサードパーティ・コードでセキュリティの脆弱性をスキャンするには、次のトピックの手順に従います。

SCA スキャン結果で使用できる機能。

サポートされているオペレーティング・システムと、静的分析を実行する場合に ASoC でスキャンできるファイルのタイプ、場所、プロジェクト。

セキュリティーの脆弱性がないかソース・コードをスキャンするには、これらのトピックで説明する手順に従ってください。

以下のサンプル・アプリケーションを使用して、ASoC によるスキャンをお試しください。

静的分析に関する問題が発生した場合、以下のトラブルシューティング・タスクを実行して、行うべき是正処置を決定することができます。サービスに関する問題が発生した場合、以下のトラブルシューティング・タスクを実行して、行うべき是正処置を決定することができます。

アプリケーションの「問題」ページには、デフォルトで非準拠の問題のみが表示されます。さまざまなフィルターを適用して必要な問題を確認し、問題をクリックして詳細な問題情報ペインを開くことができます。

AppScan は、IAST、DAST、および SAST によって検出された問題を分析して、一度の修復作業または総合的な修復作業で複数の脆弱性を解決できる場所 (コード内の共通の脆弱なリンク (相関)) を特定します。

修正グループは現在、静的分析スキャンで検出された問題にのみ適用されます。

アプリケーションで検出された問題のレポートを生成します。送信するレポートを、開発者、社内監査者、侵入テスト担当者、マネージャー、CISO に送信します。セキュリティー情報は広範囲にわたる場合がありますが、必要に応じてフィルタリングできます。

お客様のセキュリティー・チームは、リスクの判別と脆弱性の優先順位付けを行った後、修復プロセスを開始できます。

最初のスキャンの後で問題を修正したら、再び同じアプリケーションを複数回スキャンすると前の結果を上書きできるため、ダッシュボードには常に最新の結果が表示されます。(新規のスキャンを開始せずに) 再スキャンを行うと、再スキャンにより前のスキャンは上書きされます。

インタラクティブ (IAST) スキャン・エントリーには、前回のスキャンが開始された後の結果が示されます。

AppScan Presence の操作中に検出されたエラーに対するトラブルシューティング・タスク。

静的分析に関する問題が発生した場合、以下のトラブルシューティング・タスクを実行して、行うべき是正処置を決定することができます。サービスに関する問題が発生した場合、以下のトラブルシューティング・タスクを実行して、行うべき是正処置を決定することができます。

よくある質問について説明します。

ASoC でテスト済みの問題の脅威クラスとそのクラスに関連する CWE 番号を記載したテーブル。

このセクションでは、応答データを CSV 形式で保存する方法について説明します。