問題属性
この表は、AppScan Enterprise で事前定義されているいくつかの問題属性について説明しています。
| 名前 | 説明\n |
|---|---|
| 状況 | 修復処理中のワークフローを追跡するために使用します。 |
| CVSS | CVSS の基本メトリックおよび一時メトリックのグループと、手動で設定された重大度スコアの組み合わせに基づいた平均スコア。 |
| CVSS バージョン | CVSS スコアの計算に使用される CVSS 仕様を示します。10.2.0 以降のスキャンでは、CVSS バージョンは 3.1 であり、それ以前のスキャンではバージョン 2.0 です。AppScan Enterprise 10.11.0 以降では、CVSS 4.0 もサポートされています。 |
| 重大度値 | 特定の問題の CVSS スコアを手動で微調整します。通常、サード・パーティー・スキャナーや AppScan Standard から問題をインポートするとき、または個別に問題をトリアージするときに、この設定をオーバーライドします。
|
| 検出方法 | 静的分析 (SAST) または動的分析 (DAST) |
| スキャナー | 問題をインポートしたサード・パーティー・スキャナーのタイプ。Nessus 脆弱性スキャナーなど。 |
| アプリケーション | AppScan Source からインポートされる問題。これには、1 つ以上のプロジェクトおよび関連属性が含まれます。属性は、スキャン結果を意味のあるグループに編成するのに役立つ特性です。 |
| 要素 | 問題に対して脆弱なページ・オブジェクト (Cookie またはパラメーターなど) の名前 (例えば、passw)。 |
| 分類 | 検出物のタイプ: 脆弱性、例外、または情報。例外は、追加の情報または調査を必要とする、疑わしい、潜在的に脆弱な状態を示します。 |
| ソース・ファイル | 脆弱性を含む AppScan Source プロジェクトのソース・ファイル。 |
| 行 | 脆弱性が検出されたソース・コードの行番号。 |
| API | 脆弱性を含む API。 |
| プロジェクト名 | ソース・コードなどの一連のファイル、およびその関連情報 (構成データなど) からなる AppScan Source 内のプロジェクト。プロジェクトは、常にアプリケーションの一部です。 |
| 修正日 | 問題が修正された日時スタンプ。この属性は読み取り専用です。 |
| 期限切れ | あらかじめ定められた日までに修正されていない問題。 |
CVSS メトリック
CVSS 基本メトリックは、時間の経過やユーザー環境の違いに関係なく一定である脆弱性のメトリックです。CVSS Temporal メトリックは、時間の経過とともに変化する可能性がある脆弱性のメトリックです。これらのメトリックの詳細については、CVSS 仕様を参照してください。
サポートされる XML バージョンと欠落データの処理
AppScan Enterprise は、XML バージョン 2.1、2.3、および 3.1 でフォーマットされた AppScan on Cloud エクスポート・ファイルのインポートをサポートしています。XML バージョン 3.1 ファイルをインポートすると、AppScan Enterprise はファイルから CVSS 3.1 と CVSS 4.0 の両方のメトリックを直接抽出し、同時に保存します。
インポートされたファイルに CVSS 4.0 または CVSS 3.1 のベクトルが欠落している場合 (これは 2.1 や 2.3 などの以前の XML バージョンで頻繁に発生します)、AppScan Enterprise は自動的にデータベースを照会します。AppScan は、問題タイプに基づいて欠落している CVSS 情報を取得します。このデータベース・フォールバック・メカニズムは、XML バージョンや問題の古さに関係なく、CVSS 3.1 と CVSS 4.0 の両方のメトリックが確実に設定されるように、インポートされたすべての問題に適用されます。