使用記錄的流量建立 API 掃描
如果您對 Web API 有記錄的流量，可以將其匯入並用作掃描基礎。例如，如果有不屬於 Postman 集合一部分的 API 端點，或者如果您有 API 功能自動化，您可以在 API 自動化執行時記錄流量，並將流量送往 AppScan 進行安全測試。
開始之前
- 在掃描之前先備份網站。
- 如果您尚未執行此操作，請為您的掃描建立應用程式。
- 請向 ASoC 驗證您具有掃描網域的許可權（請參閱驗證網域），或者您也可以在不使用網域管理進行驗證的情況下授權網域。
- 如果您的網站無法在網際網路上存取，而且伺服器上還未存在 AppScan Presence ：建立 AppScan Presence。
- 如果要掃描即時正式作業網站，請先參閱 掃描即時正式作業網站時，我應該進行哪些變更？
執行這項作業的原因和時機
-
使用活動記錄器透過 Swagger UI 記錄
- 具 Postman 或 SoapUI 的 AppScan Standard
- 使用流量記錄器
若為 Web API，最佳選項通常為 HCL AppScan 資料流量記錄器。
程序
- 在特定「應用程式」頁面上，按一下「建立掃描」，然後按一下「DAST 動態分析」下的「建立掃描」。
- 在「建立掃描: DAST」對話框，選擇「API 掃描」以開始設定。
- 選取 API 探索方法「已記錄的資料流量」。
- 將您的檔案拖放到標示區，或按一下「新增」圖示以瀏覽並新增具有記錄流量的 dast.config 檔案。
-
在「要測試的網域」區段中，您必須新增要包含在掃描中的所有經過驗證/獲得允許的網域。這兩種格式都有效：
https://demo.testfire.net/demo.testfire.net
重要： 未列出的網域不會經過掃描。 - 根據需要配置其他掃描選項，例如鑑別、測試原則和其他進階設定。如需相關資訊，請參閱建立 API 掃描。
- 按一下「掃描」。系統會匯入記錄的流量檔案。執行掃描以偵測您 Web API 中的任何漏洞。
下一步
- 您可以在掃描和階段作業頁面上檢視掃描狀態。