測試原則

測試原則是網路應用程式安全掃描設定的清單。您可以選取在從 ASoC 使用者介面執行掃描時可用的其中一個預先定義的測試原則，但其他原則可以藉由匯入的掃描或從 API 執行的掃描套用。您也可以上傳在 AppScan Standard 和 AppScan Enterprise 中建立的自訂測試原則。

網站所可能有的 AppScan 測試數目可以達到數千個。您可以設定想要在應用程式上執行之測試類型的「原則」，而不需要手動過濾大量的測試和測試變式。

測試原則要在 DAST 掃描設定中進行配置。

預先定義的測試原則

原則名稱

說明

完成

包含所有可能的測試。

預設

包含侵入性測試及埠接聽器測試以外的所有測試。

2021 年 OWASP 前 10

包含 OWASP 對映的最新前 10 大漏洞種類的所有測試。

2023 年 OWASP 前 10 大 API 安全風險

包含 OWASP 對映的最新前 10 大 API 漏洞種類的所有測試。

正式作業網站

排除可能會損壞網站的侵入式測試，或是可能會導致其他使用者發生「阻斷服務」的測試。

提示：如果將測試最佳化套用至掃描配置，則所選取原則中的部分漏洞可能無法進行測試。因此，如果您是使用完整的測試原則，且想要傳送其所有測試，則應將測試最佳化設定為不進行最佳化。

新增測試原則

您現在可以新增使用 AppScan Standard 和 AppScan Enterprise 建立的自訂測試原則。

  1. 在「測試原則」頁面，按一下「新增測試原則」。
  2. 輸入測試原則名稱，並可選擇加入說明。
  3. 按一下「選取檔案」，以瀏覽並開啟原則檔案。
  4. 您還可以選擇將此原則設為預設測試原則。
  5. 按一下儲存。

自訂測試原則隨即新增，供您在 DAST 掃描設定期間使用。

另請參閱：測試最佳化常見問題