セキュリティー・テスト・ポリシー

セキュリティー・テスト・ポリシーは、セキュリティー・テストの定義済みセットです。ユーザーがセキュリティー・スキャンを実行するには、サーバー・グループとテスト・ポリシーの両方がユーザーにあらかじめ割り当てられている必要があります。

管理者には、テスト・ポリシーへの明示的なアクセス権限を付与する必要はありません。また、サーバー・グループに割り当てる必要もありません。使用可能なテスト・ポリシーには以下の 2 つのタイプがあります。
Standard exclusion:
「完全」テスト・ポリシーを含むすべての事前定義テスト・ポリシーでは、デフォルトで以下のテストが除外されます。

  • 古いテスト (古い CVE やサード・パーティーの古いテストなど)

  • AppScan のパフォーマンスを低下させる可能性がある破壊的テスト (ポート・リスナー・テストなど)

  • シンプル・セキュリティー・テスト・ポリシーは、テストを高レベルで定義します。AppScan® Enterprise Server でシンプル・テスト・ポリシーを作成および編集し、サーバー・グループに割り当てることができます。
  • アドバンスト・セキュリティー・テスト・ポリシーは、テストをより詳細なレベルで定義します。 AppScan®7.7 (以降) から詳細テスト・ポリシーをインポートしてサーバー・グループに割り当てることができますが、そのプロパティーを編集することはできません:
    • Application only: 侵入テストを除くすべてのアプリケーション・レベルのテストが含まれます。
    • Complete: すべてのテストが含まれます。
    • Default: 侵入テスト (サーバーの安定性に影響するテスト) を除くすべてのテストが含まれます。
    • Infrastructure only: 侵入テストを除くすべてのインフラストラクチャー・レベルのテストが含まれます。
    • Invasive: すべての侵入テスト (サーバーの安定性に影響する可能性があるテスト) が含まれます。
    • OWASP Top 10 - 2021: OWASP がマッピングした最新の脆弱性カテゴリーの上位 10 件に対するすべてのテストが含まれます。
    • OWASP Top 10 API Security Risks - 2023: OWASP がマッピングした最新の API 脆弱性カテゴリーの上位 10 件に対するすべてのテストが含まれます。
    • Production Site: サイトに損害を与える可能性がある侵入テスト、または他のユーザーへのサービス妨害を引き起こす可能性があるテストが除外されます。
    • Third Party-Only: 侵入テストを除くすべてのサード・パーティー・レベルのテストが含まれます。

削除されたテスト・ポリシー

バージョン 10.12.0 で、事前パッケージ化された Vital Few テスト・ポリシーと Developer Essentials テスト・ポリシーが削除されました。
Important:
アップグレード後、これらの削除されたポリシーを使用していたアクティブなスキャン・プロファイルは「未割り当て」状況に変わります。スキャンを実行する前に、これらのプロファイルに新しいテスト・ポリシーを割り当てる必要があります。
  • 以下の代替ポリシーを使用してください:
    非推奨のポリシー 推奨される代替
    Web サービス Default ポリシーを使用してください。このポリシーには Web サービスが含まれるようになりました。
    厳選テスト

    最速のテスト最適化設定でDefaultポリシーを使用してください。
    開発者必需テスト

    より高速なテスト最適化設定で Application only ポリシーを使用してください。