常見問題


DAST	SAST	IAST
功能濫用 API 上中斷的功能層次授權 API 上中斷的物件層次授權強制入侵緩衝區溢位內容偽裝認證/階段作業預測偽造跨網站要求跨網站指令碼攻擊阻斷服務目錄檢索格式字串走私 HTTP 要求 HTTP 回應分割 API 的不當資產管理漏洞資訊洩漏不安全檢索鑑別不足授權不足階段作業期限不足傳輸層保護不足整數溢位 API 的缺乏資源與速率限制漏洞 LDAP 注入郵件指令注入 API 的大量指派漏洞空值位元組注入 OS 接管路徑遍訪可預測的資源位置遠端檔案併入伺服器配置錯誤伺服器端範本注入偽造伺服器端要求階段作業固定 SOAP 陣列濫用 SQL 注入 SSI 注入 URL 重新導向程式濫用 XML 屬性爆發 XML 實體擴充 XML 外部實體 XPath 注入	AppDOS 瀏覽器快取機密性資訊註解顯示機密性資訊配置問題跨網站 Scripting (XSS) DB 連線字串操作電子郵件網路釣魚電子郵件篡改需要編碼公開 Web 服務檔案篡改檔案上傳分割 HTTP 要求分割 HTTP 回應 LDAP 注入開放式重新導向 OS 指令注入路徑遍訪潛在商業邏輯問題（亦涵蓋不安全直接物件參照）專用權升級 RegEx 注入移除測試碼 SecondOrder 注入機密資料曝光機密資料儲存在日誌中機密性資訊顯示在錯誤訊息中階段作業管理逾時值太大 SQL 注入未加密通訊 URL 篡改使用加密不安全亂數產生器使用隱藏欄位使用不安全加密法演算法使用不安全原生程式碼低強度存取控制低強度鑑別 XML 注入 XPath 注入 XSLT 注入	功能濫用強制入侵偽造跨網站要求跨網站 Scripting 阻斷服務偵測到的 API 偵測到的開放原始碼元件不當輸入處理資訊洩漏記錄不足程序驗證不足 LDAP 注入 OS 接管密碼洩漏路徑遍訪偽造伺服器端要求階段作業固定 SQL 注入 URL 重新導向程式濫用 XML 外部實體 XPath 注入註：目前提供四種代理程式：Java、.NET、Node.js 與 PHP。請注意，並非所有代理程式都支援每一種威脅類別。

為何我的應用程式風險評級為「不明」？

應用程式的風險評級會根據兩個因素來計算：

找到的問題（由 ASoC）
業務衝擊（由使用者指派）

如果尚找不到任何問題，或如果「業務衝擊」為「未指定」（預設值），則「風險評級」將會是「不明」。如果要變更業務衝擊，請參閱風險評級。

DAST

掃描即時正式作業網站時，我應該進行哪些變更？

如果可能，建議您在暫置網站上執行 DAST 掃描，而不是在正式作業網站上執行。在即時正式作業網站上執行 DAST 掃描可能會影響網站穩定性。必要時，考量下列幾點可協助您有效配置正式作業網站掃描。

資料庫可能充滿掃描期間傳送的人工資訊

您可以採取下列預防措施來減少這方面的影響：

在「鑑別和連線功能：表單填入」，清除勾選框。
這可確保 ASoC 不會自動填寫表單而提交可能會塞爆資料庫、公佈欄或線上討論區系統的資料，也不會將不想要的電子郵件傳至管理員或控管者的帳戶。不過，您應該知道，這麼做將限制 ASoC 到達網站區域（藉由提交表單來存取）的能力。在這個作業模式中，ASoC 只會掃描遵循連結（包含或不含參數）所能存取的網站區域。
在「通訊」>「最大要求率」中，請考慮減少每秒允許的最大要求數。
建立測試帳戶。
使用測試帳戶可使資料庫變更的追蹤更加容易（例如，確保不會實際訂購服務），以及協助網站管理者在掃描之後清除網站。建立帳戶時，請考慮執行下列部分或全部操作：
- 限制從資料庫中只能存取測試記錄，以便還原修改過的記錄。
- 確定將會刪除測試帳戶所建立的新記錄。
- 確定將會忽略測試帳戶的採購單（或其他交易）。
- 如果交易具有影響力（例如處理股票時），請只允許帳戶存取測試記錄。
- 如果網站有討論區，請只允許測試帳戶存取測試討論區，這樣一來真正的客戶才不會看到測試階段期間所建立的測試。
- 如果網站會針對不同的帳戶提供不同的專用權，請設定多個測試帳戶，賦予不同的專用權。這可確保能夠進行更全面的網站掃描。
- 請勿建立具有管理者層級存取權的測試帳戶。

電子郵件氾濫的風險

當測試使用電子郵件通知的頁面時，ASoC 會產生許多要求，且可能使網站的電子郵件伺服器超載。如果可行，暫時變更所測試頁面上的電子郵件位址，以使電子郵件傳送到無效的電子郵件位址。

測試最佳化：如果它的掃描速度更快，為何我不應該一律使用它？

測試最佳化在您需要更快速的結果時很棒，但是不如非最佳化掃描一般的徹底。我們建議在速度很重要時使用最佳化掃描，但是您也可以在定期間隔以完整掃描來備份。

測試最佳化：我是否可以預期在相同網站上的兩個最佳化掃描結果完全相同？

因為我們的團隊會持續分析並更新設定，所以每次 AppScan 更新都會有改善的最佳化設定，因此即使網站未變更，結果也不一定會相同。不過，在相同的最佳化層次下，不太可能有稍早掃描中顯示出問題的測試，在稍後的掃描被過濾掉的情形發生。

OTP：如何識別 OTP HTTP 參數？

針對使用 OTP（一次性密碼）的 DAST 網站掃描，AppScan 需要知道包含 OTP 的參數名稱（以便能夠登入應用程式），並且通常會在驗證「已記錄的登入」時識別它。如果無法這樣做，或如果您使用自動登入而非已記錄的登入，則必須自行新增參數。

若要識別參數，請執行下列動作：

瀏覽至應用程式的登入頁面。
按一下 F12 以開啟瀏覽器的開發人員工具窗格（在主要瀏覽器窗格的右側或下方開啟）。
按一下「元素」標籤以檢視 HTML 程式碼。
選取程式碼的一部分時，會在主要瀏覽器窗格中強調顯示該元素。
尋找強調顯示 OTP 欄位的元素。
範例：
```
<input type="text" name="OTPvalue" value="">
```
name 參數的值（不含引號）是您需要的 OTP HTTP 參數。
範例：
```
OTPvalue
```
如果有多個 OTP HTTP 參數，請以逗點區隔它們。

DAST 掃描支援哪些通訊協定？

ASoC 可以掃描需要 TLS 1.2 和 1.3 的應用程式。

ASoC 支援連線至 ASoC 服務的是哪個 TLS 通訊協定？

ASoC 支援連線至服務的 TLS 1.2。

為什麼我的重新掃描中「中嚴重性」問題數量增加？

原本使用 DAST 引擎 v10.2.0 之前的版本執行重新掃描時，在重新掃描中發現的「中嚴重性」問題比原始掃描中更多。

從 AppScan DAST 引擎 10.2.0 版開始，CWE 問題嚴重性和 CVSS 評分是以 CVSS 3.1 版為基礎。使用舊版 DAST 引擎執行的掃描採用 CVSS 2.0 評分。一些在舊版中被指定為「低嚴重性」的問題在 10.2.0. 版中被指定為「中嚴重性」，導致「中嚴重性」問題增加。這會在未來的 DAST 引擎版本中進行變更。

SAST 與 SCA

何謂靜態分析 IRX 檔案以及它包含什麼內容？

IRX 是一個安全且加密的 zip 保存檔，其中包含執行程式完整靜態分析的必要資訊。在建立後待用及傳輸至雲端期間（透過 SSL）會進行加密。

IRX 保存檔在內部包含這些檔案和構件：

針對可部署的程式構件的專有及模糊呈現，這是從您已部署的原始碼（例如，Java 位元組碼或 .Net MSIL）所建置。如果要瞭解靜態分析掃描支援哪些語言，請參閱靜態分析的系統需求。
所有與程式一同部署的執行時期指令碼檔案都可加以分析以找出安全漏洞（例如 .js (Javascript) 或 .rb (Ruby) 檔案）。
Static Analyzer 配置檔，其中說明應用程式或專案階層以及程式的關係或相依關係。這可在應用程式內跨越專案界限進行精確且完整的安全分析。
在建立保存檔期間所產生的 Static Analyzer 日誌檔（用於診斷和支援）。

SCA 問題的 CVSS 版本？

儘管 ASoC 會顯示為 DAST 問題評分的 CVSS 版本，但有時可能不會顯示 SCA 問題評分的 CVSS 版本。

訂閱期限與資料保留

訂閱到期後隨即會發生什麼情況？

在到期後的前 80 天內，您的帳戶將在唯讀模式中維持於作用中狀態：

您可以產生報告。
您無法執行掃描。

前 80 天之後會發生什麼情況？

您的帳戶會遭到鎖定。
您將無法再存取資料。

訂閱到期後，資料何時會遭到刪除？

當訂閱到期或取消後，所有客戶資料將於 110 天後刪除。

已刪除的資料是否可以復原？

不可以。一旦在 110 天後刪除，組織及其資料將無法復原。

如何避免帳戶鎖定及資料刪除情況？

請在到期後 80 天內續訂並將其新增至 ASoC 組織。