DAST テストポリシー

テスト・ポリシーとは、Web アプリケーションのセキュリティー・スキャン設定のリストのことです。ASoC ユーザー・インターフェースからスキャンを実行するときは、定義済みのテスト・ポリシーから 1 つを選択できますが、インポートされたスキャンまたは API から実行されるスキャンには、ほかのポリシーを適用できます。AppScan Standard と AppScan Enterprise で作成したカスタム・テスト・ポリシーをアップロードすることもできます。

サイトで実施できる AppScan のテストの数は、数千に及ぶことがあります。大量のテストおよびテスト・バリアントを手動でフィルタリングするのではなく、アプリケーション上で実行するテストのタイプの「ポリシー」を設定できます。

テスト・ポリシーは、「DAST スキャンのセットアップ」で構成します。

事前定義テスト・ポリシー


ポリシー名	説明
注: 標準の除外: 完全テスト・ポリシーを含むすべての事前定義済みテスト・ポリシーでは、デフォルトで次のテストが除外されます。古い CVE や古いサードパーティー製テストなどの古いテストポート・リスナー・テストなど、AppScan のパフォーマンスを低下させ、妨げとなる可能性のあるテスト。
完全	すべてのテストを含みます。
AppScan のデフォルト	安全でないテスト (サーバーの安定性に影響を与えるテスト) を除くすべてのテストが含まれます。
OWASP トップ 10 2021	OWASP によってマッピングされた最新の上位 10 の脆弱性カテゴリーのすべてのテストを含みます。
OWASP の上位 10 の API セキュリティー・リスク 2023	OWASP によってマッピングされた最新の上位 10 の API 脆弱性カテゴリーのすべてのテストを含みます。
実動サイト	サイトに損害を与える可能性があるすべてのサードパーティー製テストや安全でないテスト、または他のユーザーに対するサービス妨害の原因となる可能性があるテストを除外します。

ヒント: スキャン設定に「テストの最適化」を適用すると、選択されているポリシーの脆弱性の一部はテストされない場合があります。したがって、「完全」テスト・ポリシーを選択して、そのすべてのテストを送信する場合は、「テストの最適化」を「最適化なし」に設定する必要があります。

テスト・ポリシーの追加

AppScan Standard と AppScan Enterprise を使用して作成したカスタム・テスト・ポリシーを追加できるようになりました。

「テスト・ポリシー」ページで、「テスト・ポリシーの追加」をクリックします。
テスト・ポリシー名を入力し、必要に応じて説明を追加します。
「ファイルの選択」をクリックし、ポリシー・ファイルを参照して開きます。
必要に応じて、このポリシーをデフォルトのテスト・ポリシーとして設定できます。
「保存」をクリックします。

カスタム・テスト・ポリシーが追加されるので、「DAST スキャンのセットアップ」中にこのポリシーを使用できます。

以下も参照してください。テスト最適化 FAQ