標準装備のスキャン構成

AppScan® ソース には、標準装備のスキャン構成が用意されています。これらのスキャン構成を変更または削除することはできません。リストでそれらの構成を選択すると、構成を複製したり、構成設定を表示したりできます。標準装備のスキャン構成には、サーバー・モードまたはローカル・モードでアクセスできます。

スキャン構成

スキャン構成を使用すると、スキャンの分析と出力を調整してさまざまな種類のアプリケーション、スキャン環境、およびセキュリティー・プロセスに固有のニーズを満たすことができます。アプリケーションが対話する特定のリソース、DevSecOps プロセスの特定のタイミング要件、またはセキュリティー・チームが識別した特定の脆弱性に対応するように構成されています。

スキャンの調整は、分析プロセスを制御するさまざまなパラメーターを設定することで実行されます。パラメーターは、スキャン・ルール詳細設定にグループ化されます。AppScan® ソース の標準装備のスキャン構成は、お客様が識別した特定のケースに基づいています。

AppScan® ソース には、以下の標準装備のスキャン構成が含まれています。
  • Android
  • すべての仮想呼び出しターゲットの実施
  • 大規模なアプリケーション
  • 検出結果の最大化
  • トレースの最大化
  • 中規模から大規模のアプリケーション
  • 正常
  • クイック
  • サービス・コード
  • ユーザーの入力の脆弱性
  • バランスの取れた Web
  • 詳しい Web
  • Web プレビュー
  • Web クイック
  • Web

スキャン構成のグループ化

標準装備のスキャン構成は、一般的なスキャンの詳細、速度、サイズに幅広く対応しています。全般的に、スキャンは次のように分類されます。
  • 通常
  • 汎用
  • Web
  • その他
大規模の場合、データが多いため、スキャンとして優れていると思われるかもしれませんが、それが常に正しいとは限りません。

スキャンされるデータの種類やその他スキャン構成のディテールによっては、時間やスペースといったリソース要件削減のために実際の大規模スキャン分析が浅くなることがあります。そのため、スキャン対象、スキャンで見込まれる検出結果の種類、構成の種類 (標準装備スキャン構成かカスタム構成か) を理解しておくことが重要です。

通常のスキャン

これはデフォルトのスキャン構成であり、パラメーターのデフォルト値を使用します。この構成は、あらゆる種類のアプリケーションに使用でき、使用時間、詳細な分析、検出結果の数をバランスよく提供します。デフォルト値は ozsettings ファイル (ipva.ozsettingsounce.ozsettingsscan.ozsettings、またはその他) で変更できます。

汎用スキャン

この構成グループは、あらゆる種類のアプリケーションと、次の順で検出結果数が増加する最短から最長までの所要期間範囲に適しています。
  • 大規模なアプリケーションのスキャン
  • クイック・スキャン
  • 中規模から大規模のアプリケーションのスキャン
  • すべての仮想呼び出しターゲット・スキャンの実施
  • トレースの最大化
  • 検出結果の最大化

Web のスキャン

この構成グループは、Web アプリケーションに最適です。このグループは最短から最長までの所要期間範囲で、次の順で検出結果数が増加します。
  • Web クイック・スキャン
  • Web プレビュー・スキャン
  • Web のスキャン
  • バランスの取れた Web のスキャン
  • 詳しい Web のスキャン

その他

  • サービス・コード・スキャンは、Web サービス、ライブラリー、および REST アプリケーションに適しています
  • Android スキャンは、Android 環境のモバイル・アプリに適しています。
  • ユーザーの入力の脆弱性のスキャンは、Web アプリケーションの外部ユーザーまたはデスクトップ・アプリケーションの内部ユーザーによって提供された入力に対応します。

スキャン・ルール

スキャン・ルールは、アプリケーションにとって潜在的な脅威となっている入力の選択を制御するパラメーターです。このルールは、開発者またはセキュリティー・チームが特に関心を寄せる入力にフォーカスを合わせるように構成される場合があります。検査する入力の数を減らすと、スキャン時間が短縮されます。
注: 各スキャン・ルールの詳細については、「スキャン構成」ビュー を参照してください 。
スキャン・ルール
すべて ユーザーの入力 Web アプリケーション エラー処理およびロギング 環境 外部システム データ・ストア 異常な項目 ファイル・システム 機密データ
スキャン構成 通常 (デフォルト) X
Android X
すべての仮想呼び出しターゲットの実施 X
大規模なアプリケーション X X X
検出結果の最大化 X
トレースの最大化 X
中規模から大規模の間 X
クイック X X X X X X X
サービス・コード X
ユーザーの入力の脆弱性 X
バランスの取れた Web X X X X X X
詳しい Web X X X X X X
Web プレビュー X X X X X X
Web クイック X X X X X X
Web X X X X X

詳細設定

詳細設定は、通常、分析に要する時間とアプリケーションの分析の詳細度を制御するパラメーターです。一般に、分析時間を短縮したり詳細度を制限したりするようにパラメーターを設定すると、スキャン時間が短縮され、検出結果の数も減少します。
注: 値が指定されていない場合、またはユーザー・インターフェースに「<Inherited>」としてリストされている場合は、ozsettings ファイル (ipva.ozsettingsscan.ozsettings、またはその他) で設定されている「通常」スキャンに関連付けられたデフォルト値と同じ値になります。「通常」スキャン用としてここにリストされている値は、システムのオリジナルの値です。
詳細設定
コールバックの自動マークアップ 伝播元の自動マークアップ スキップするメッセージを表示 カスタム・ルールをフィルタリング 初期プルーニング・ヒューリスティック IPVA のルートあたりの制限時間 インライン検証なし プロトタイプ・トレース Set/Get 属性呼び出しの置換 情報レベルの検出結果の表示 単一の仮想呼び出し 制限メッセージの処理の抑止 仮想呼び出しの自動コールバック・メッセージ 仮想呼び出しの数 WAFL グローバルの追跡
スキャン構成 通常 (デフォルト) False False False True 7 50 False 0 (すべて) False False True True 0 0 (すべて) True
Android 7 50 True True 0 True
すべての仮想呼び出しターゲットの実施 False 0
大規模なアプリケーション 100 2 1 True False
検出結果の最大化 True True 0 50 True False 0 True
トレースの最大化 True True 0 50 False 0 True
中規模から大規模の間 False 100 4 True 1 True False 5 True
クイック 100 2 1 False True
サービス・コード True False 100 4 True 1 True False 5 True
ユーザーの入力の脆弱性 False 100 4 True 1 False 5
バランスの取れた Web
詳しい Web True True 9 50 True False 0 True
Web プレビュー 100 2 1 True False
Web クイック 100 2 1 True False
Web 7 50 0 True True 0 True