セキュリティーの目的は、貴重な資産を保護することです。組織が所有する最も重要な資産のいくつかは、知的財産、戦略計画、顧客データなど、情報の形をとるものです。この情報を保護することは、組織の業務の継続、競争力の維持、および法規制要件への適合に不可欠です。

HCL® AppScan® Enterprise を使用すると、組織は、アプリケーション・セキュリティー・リスクを軽減し、アプリケーション・セキュリティー・プログラム管理の取り組みを強化し、規制コンプライアンスを達成することができます。セキュリティー・チームと開発チームは、アプリケーション・ライフサイクル全体にわたってコラボレーションし、ポリシーを確立し、テストのスケールを調整することができます。エンタープライズ・ダッシュボードでは、業務への影響に基づいてアプリケーション資産の分類と優先順位付けを行い、高リスクの領域を特定することにより、修復作業の効率を最大限に高めることができます。アプリケーション・セキュリティー・プログラムの進行状況のモニターに役立つパフォーマンス・メトリックが提供されます。

以下の表では、AppScan Enterprise に付属の AppScan Standard コンポーネントの製品バージョンを追跡します。

自分のロールに応じて、製品のさまざまな分野から開始することができます。

既知の問題と回避策を示します。

AppScan® Enterprise の前のリリースからマイグレーションする場合は、このリリースで推奨されなくなった各種の機能に注意する必要があります。

使用する構成は、ソフトウェアの処理方法、組織や Web サイトまたはアプリケーションの構造、情報の配布方法などのさまざまな要素によって決まります。現行リリースをインストールする前に、ハードウェア要件およびソフトウェア要件、ライセンス交付、およびその他のデプロイメントの考慮事項に関する情報を検討してください。

AppScan® Enterprise をインストールする前に、ご使用のシステムを準備して構成する必要があります。

このセクションでは、AppScan® Enterprise のインストール手順について説明します。

AppScan® Enterprise をインストールした後、以下のポストインストール・タスクを実行します。

前のバージョンからのアップグレード時に、ご使用のスキャンまたはレポート・データに影響を与える可能性がある変更点について説明します。アップグレード・プロセスを理解するために、必ずすべてのトピックをお読みください。

フィックスパックは FNO からダウンロードして入手できます。

v9.0.1 以降の AppScan® Enterprise では、インストール占有スペースを削減し、ユーザー認証コンポーネントとしての Rational® Jazz™ Team Server (Jazz Team Server) を削除する、アーキテクチャーの再設計が採り入れられています。

Liberty 認証方式を使用するように Jazz Team ユーザーをマイグレーションするには、v9.0.1 以上へのアップグレードを開始する前に、コマンドを使用して、ユーザーの .csv ファイルをエクスポートします。その後、以下の 2 つの方法のうち、いずれかの方法に従って、同じユーザーが AppScan Enterprise v9.0.1 以上にアクセスできるように、それらのユーザーを Liberty に登録することができます。

最新バージョンの AppScan Enterprise へのアップグレードを正常に実行するために、このトピックをよくお読みください。

AppScan® Enterprise Server を構成する際には、SQL Server に関する情報が必要です。AppScan 構成時の時間を節約するために、最初に SQL Server を構成してください。SQL Server を新規バージョンにアップグレードする場合も、同様に以下の手順に従ってください。

この手順では、Liberty 証明書を使用して IIS を保護する方法を説明します。

LDAP 設定 (サーバー名や別名など) を変更する場合、あるいは AppScan® Enterprise Server を別のコンピューターに移動する場合には、asc.properties ファイルを更新して、それらの変更を反映する必要があります。

以下のいずれかの手順を使用して、WebSphere Liberty プロファイルで FIPS 140-2 または NIST SP800-131a を有効にします。

製品を IBM Security QRadar と統合する方法について説明します。

製品を QA 自動化システムと統合する方法について説明します。

製品を障害追跡システムと統合する方法について説明します。

AppScan Enterprise の REST API について説明します。

コンテンツ・ジョブがスキャンするアプリケーションで使用中のテクノロジーを判別し、それぞれのタイプについて以下のベスト・プラクティスを参照します。

実稼働環境におけるセキュリティー・スキャンの実行は、リスクがあります。しかし、実稼働環境のスキャンが必要な場合もあります。例えば、監査要件に準拠するため、サイトがハッキングされたかどうかを検出するため、またはセキュリティー・スキャンの統合に SDLC プロセスが用いられていることを検証するためなどです。

スキャン・エンジンは、1000 を超えるさまざまなテストを実施し、それらを複数回実行します。

このトピックでは、一般的なアプリケーションについての質問を扱います。

要件に合わせて個別設定できる設定がいくつかあります。

Enterprise Console は、管理、項目の構成、およびレポート作成をサポートする、メインのユーザー・インターフェースです。

スキャン実行中に生成されたログ・ファイルは、一定の期間、サーバーに保存されます。そのようなログ・ファイルがサーバーによって保持される時間制限をログ保持期間と言います。この保持期間が経過すると、これらのログ・ファイルは古くなり、サーバーのメモリー空間を冗長に占有します。AppScan Enterprise で時間制限をログ保持期間として設定し、この事前設定された期間が経過した後に、そのようなログ・ファイルを自動的に削除することができます。

ユーザー・グループとアクセス権限を管理する方法について説明します。

管理者は、Enterprise Console および AppScan Server のログ・ファイルの設定を構成し、それらを問題のトラブルシューティングに必要なときにダウンロードすることができます。この機能を使用すると、Enterprise Console や AppScan Server がインストールされているコンピューターのファイル・システムを検索する必要がなくなります。

AdminUtil ツールを使用すると、ユーザーは AppScan Enterprise Server と DAST Scanner で構成ウィザードを再実行しなくても、パスワードをリセットできます。このユーティリティーは、対話モードとサイレント・モードの 2 つのモードで実行できます。対話モードによるサービス・アカウント・パスワードのリセットについて詳しくは、「サイレント・モードの ASE AdminUtil ツールによる AppScan Enterprise でのサービス・アカウント・パスワードのリセット」を参照してください。

AppScan Enterprise (ASE) AdminUtil ツールを使用すると、サービス・アカウント・パスワードをリセットするために、ユーザーが AppScan Enterprise Server、IAST Communication Service、DAST Scanner、データベース・サービス、警告サービスで構成ウィザードを再実行することを回避できます。このユーティリティーを対話モードとサイレント・モードの 2 つのモードで実行することで、これを達成できます。対話モードによるサービス・アカウント・パスワードのリセットについて詳しくは、「ASE AdminUtil ツールによる AppScan Enterprise でのサービス・アカウント・パスワードのリセット」を参照してください。

「アクティビティー・ログ」レポートを作成して、AppScan Enterprise を使用しているユーザーおよびそのユーザーが AppScan Enterprise で実行していることを判別できます。レポートには、変更を行ったユーザーと変更が行われた時間がリストされています。ログは常にアクティビティーを記録しているため、ユーザーはレポートを作成するだけで済みます。「アクティビティー・ログ」レポートを作成できるのは管理者のみですが、どのユーザーに対しても、レポート・パックのプロパティーの一部としてレポートに対するアクセス権限を与えることができます。他のユーザーが「アクティビティー・ログ」レポートを見ることを望まない場合は、レポート・パックの「ユーザーおよびグループ」ページで「他のすべてのユーザー」を「No Access」に変更します。

アクティビティー・ログを使用して、AppScan Enterprise を使用しているユーザーおよびそのユーザーが AppScan Enterprise で実行していることを判別できます。アクティビティー・ログには、変更を行ったユーザーと変更が行われた時間がリストされています。これは、セキュリティー監査で、ユーザーによって実行された可能性のある許可されていないアクティビティーまたは異常なアクティビティーを検出する場合に役立ちます。管理者のみがアクティビティー・ログを表示できます。デフォルトでは、アクティビティー・ログ・データは 1 年間保持されます。

製品管理者は、各サーバーが最適なパフォーマンスになるよう管理する責任があります。

現在実行中または実行を待機中のスキャン・ジョブの状況を確認し、主要なスキャン・ジョブを実行する優先順位付けを行うことができます。例えば、時間依存の成果物 (休日の特売品など) の一部であるスキャン・ジョブがあるとします。それらのジョブをキューの先頭に移動することで、確実にスケジュール内でのそのジョブの優先順位を最初にすることができます。

セキュリティー・ルールは、AppScan® Enterprise リリースの一部として更新されます。セキュリティー・ルールのバージョンおよびリリースの日付は、AppScan Enterprise のメインメニューの「バージョン情報」リンクから確認することができます。

AppScan® Standard は、何千ものテストのデータベースを提供しています。ただし、ご使用の Web アプリケーションが固有の問題を抱えている場合や、問題を解決するための独自のアドバイザリーを書き込みたい場合、独自のテストを作成できます。それらのテストは、AppScan のテストのデータベースに保存され、組み込まれます。それらは *.udt ファイルとしてエクスポートして AppScan Enterprise にインポートすることも可能です。

SQL Server データベースの保守には、SQL Server のアップグレード、SQL データベースのバックアップ、ログ・ファイルの構成、データベースの使用法が含まれています。

AppScan Enterprise でセキュリティー・テストを準備する方法について説明します。

AppScan Enterprise でスキャン・テンプレートを作成する方法について説明します。

アプリケーション・インベントリーの作成方法を説明します。

アプリケーション内で特定された脆弱性のテスト方法を説明します。

アプリケーション内で特定されたリスクを判別して、脆弱性の優先順位付けをする方法について説明します。

アプリケーション内で特定されたリスクの修復方法を説明します。

進行状況の測定とコンプライアンスの実証方法について説明します。

トラブルシューティングは問題を解決するための系統的アプローチです。トラブルシューティングの目標は、何かが予期したとおりに働かない理由を判断し、問題を解決する方法を明白にすることです。

HCL® サポートでは、製品の問題に関する支援や、よくある質問への回答、製品の問題のユーザーによる解決のための支援を提供します。

Dynamic Analysis Scanner のトラブルシューティングについて説明します。

Enterprise Server のトラブルシューティングについて説明します。

内部的な製品のメッセージ、スキャン・ログのメッセージ、および Web サービスのメッセージは、保守容易性のためのコードについて説明します。

ウィザード・トピックの設定について説明します。

フォルダー・エクスプローラーのトピックについて説明します。

レポートは、ジョブの実行後に自動的に生成されます。このレポートを使用することで、組織にとって重要な問題の管理を、Enterprise Console のワークフローおよび組織の他のプロセスのワークフローの両方でサポートされる方法で行うことができます。