AI 設定の構成

AppScan Enterprise を Microsoft Azure OpenAI サービスと統合して、Intelligent Finding Analytics (IFA) を有効にし、スキャン結果の精度を向上させます。

始める前に

開始する前に、以下の要件を満たしていることを確認してください：

  • AppScan Enterprise の管理者権限が必要です。
  • アクティブな Microsoft Azure OpenAI アカウントから以下が必要です：
    • Azure OpenAI リソース名。
    • モデルのデプロイ名。
    • API キー（Azure ポータルのリソースの Keys & Endpoint (キーとエンドポイント) セクションにある KEY1 または KEY2）。
  • AppScan Standard と AppScan Enterprise が同じホストマシンにインストールされている展開シナリオでは、AI 構成設定が共有されます。一方の製品（例：AppScan Standard）で AI 構成が有効になると、もう一方の製品（例：AppScan Enterprise）で実行されるスキャンにも自動的に認識され、適用されます。また、その逆も同様です。

このタスクについて

この機能は、動的アプリケーション・セキュリティ・テスト (DAST) 向けの Intelligent Finding Analytics (IFA) を有効にします。生成 AI を統合することで、スキャナーはアプリケーションのエラーページをより正確に確認し、エッジケースを処理できるため、誤検知を減らし、スキャン結果全体の精度を向上させます。

これは、すべてのスキャンに対するシステム全体の設定です。これらの設定を構成した後、スキャン実行中にこの機能を無効にすることはできません。

重要:
この機能は、Azure OpenAI モデル GPT-4o (バージョン: 2024-05-13) でテストされました。最適なパフォーマンスを確保するために、この特定のモデルとバージョンを使用することを強くお勧めします。
Cost:
Azure OpenAI サービスの使用には、トークンの使用量に基づいてコストが発生します。コスト効率を確保するために、Azure アカウントを定期的に監視してください。
Rate limiting:
スキャン中、Azure OpenAI サービスに大量のリクエストが送信されます。これらのリクエストが Azure サービスのクォータを超えると、Azure は接続を一時的に制限（レート制限）する場合があります。これは想定された動作であり、関連するメッセージがスキャンログに表示される場合があります。リクエストが頻繁に制限される場合、スキャンですべての分析に AI 機能を使用できなくなり、最終的なスキャン結果に影響する可能性があります。
Validation rules:

入力する値は、以下の基準を満たしている必要があります：

Endpoint (エンドポイント):

  • https:// で始まる有効な URL である必要があります。
  • 20 文字から 255 文字の間である必要があります。

API Key (API キー):

  • 英数字（文字と数字のみ）である必要があります。
  • 30 文字から 255 文字の間である必要があります。

手順

  1. Administration (管理) ビューに移動します。
  2. 左側のナビゲーションペインで、General Settings (一般設定) をクリックします。
  3. AI Settings (AI 設定) セクションで、Manage (管理) をクリックします。
    Configure AI Settings (AI 設定の構成) ページが開きます。
  4. Endpoint (エンドポイント) フィールドに、Azure OpenAI サービスの URL を入力します。

    URL は以下の形式である必要があります：

    https://{your-resource-name}.openai.azure.com/openai/deployments/{your-deployment-name}/chat/completions
  5. API key (API キー) フィールドに、API キーを入力します。
  6. Done (完了) をクリックします。

タスクの結果

AppScan Enterprise は、Azure OpenAI サービスを使用するように構成されました。指定されたエンドポイントまたは API キーが無効であるか、有効期限が切れている場合、スキャンは完了しますが、エラーページの検出はスキップされます。