OWASP ベンチマーク・プロジェクトは、ソフトウェアの脆弱性検出ツールを評価するように設計された Java テスト・スイートです。HCL AppScan IAST Java エージェントは、OWASP ベンチマークに完全に準拠しています。
手順
AppScan IAST Java エージェントで OWASP ベンチマークを実行するには、次のようにします。
-
次から
BenchmarkJavaとBenchmarkUtilsの複製を作成します。https://github.com/OWASP-Benchmark .
-
コマンドプロンプトを開き、
BenchmarkUtilsディレクトリーに移動して、 mvn install -DskipTestsを実行します。
-
AppScan Enterprise の場合: Java IAST エージェントのダウンロードと Web サーバーへのデプロイで説明するとおり、IAST Java セッションを開始し、エージェント zip をダウンロードします。
-
zipファイルの内容を抽出します。
-
抽出した
JAR内のjar_deploymentフォルダでsecagent.jarを見つけ、 BenchmarkJava\tools\HCLにコピーします。
-
コマンドプロンプトから
runBenchmark_wHCL.batを実行し、「 [情報] コンテナを停止するには Ctrl-C を押してください...」というメッセージが表示されるまで待ちます。
-
別のコマンド・プロンプトを開き、
BenchmarkJava\runCrawler.batを実行します。
-
クロールが完了したら、 [Ctrl] + [C] キーを押して、Benchmark Tomcat インスタンスを停止します。
「バッチ・ジョブを終了します (Y/N)?」する場合は、 Nを入力します。
-
BenchmarkJava\createScorecards.batを実行します
テスト結果は BenchmarkJava\scorecard\Benchmark_v1.2_Scorecard_for_HCL_AppScan_IAST_v{IAST_version} ファイルにあります。
図: OWASP Benchmark v1.2 結果の比較
