ホーム
プロダクト機能の拡張
特定の開発要件を満たすために製品を拡張する方法について説明します。
HCL®AppScan® Source for Development (Eclipse プラグイン)
AppScan® Source for Development を使用すると、既存の開発環境で作業を行いながら、Java および IBM® MobileFirst Platform プロジェクトのセキュリティーの脆弱性を分析できます。セキュリティー分析は、ソース・コードの脆弱性を特定し、AppScan ソース・セキュリティー・ナレッジベース・データベースの修復支援機能を使用して脆弱性を完全に解消するのに役立ちます。
ワークスペース、プロジェクト、およびファイルのスキャン
Eclipse のワークスペース、プロジェクト、またはファイルをスキャンすることができます。これには、Java™ (Android を含む)、JavaServer Pages (JSP)、および IBM® MobileFirst Platform プロジェクトのスキャンが含まれます。
MobileFirst Platform プロジェクトのスキャン
MobileFirst Platform プロジェクトは、他のプロジェクト・タイプと同じ方法でスキャンされますが、注意すべき考慮事項がいくつかあります。このヘルプ・トピックでは、その考慮事項について説明します。

ようこそ
HCL®AppScan® ソースの文書へようこそ。
新機能
以下の、AppScan® ソースに追加された新機能と、このリリースで非推奨になった機能についての注意について説明します。
インストール
HCL®AppScan® ソースのインストール、アップグレード、およびアクティブ化の方法について説明します。
構成
HCL®AppScan® ソースでの、アプリケーションとプロジェクトの構成、および属性とプロパティーの設定の方法について説明します。
の管理
HCL®AppScan® ソースでの、ユーザー・アカウントと許可の管理、ユーザー・アクティビティーの監査、および統合の管理の方法について説明します。
スキャン
このセクションでは、HCL®AppScan® ソースでのソース・コードのスキャン方法および評価の管理方法について説明します。
トリアージおよび分析
類似した検出結果をグループ化することにより、セキュリティー・アナリストや IT 監査員はソース・コードの問題をセグメント化し、トリアージできます。このセクションでは、AppScan® ソース評価のトリアージを行い、結果を分析する方法について説明します。
レポート作成
セキュリティー・アナリストおよびリスク・マネージャーは、選択された検出結果のレポート、またはソフトウェア・セキュリティーのベスト・プラクティスおよび法的要件へのコンプライアンスを測定するための一連の監査レポートにアクセスできます。このセクションでは、集約された検出結果データのレポートを作成する方法について説明します。
プロダクト機能の拡張
特定の開発要件を満たすために製品を拡張する方法について説明します。
- 脆弱性データベースとパターン・ルールのカスタマイズ
  このセクションでは、脆弱性データベースをカスタマイズし、カスタマイズした脆弱性やその他のルーチンをスキャンに組み込む方法について説明します。
- アプリケーション・サーバーのインポート・フレームワークの拡張
  AppScan® ソースでは、Apache Tomcat および WebSphere® アプリケーション・サーバー Liberty プロファイルから Java™ アプリケーションをインポートできます。このトピックで説明するように、アプリケーション・サーバーのインポート・フレームワークを拡張することにより、他のアプリケーションから Java アプリケーションをインポートできます。
- HCL®AppScan® Source for Development (Eclipse プラグイン)
  AppScan® Source for Development を使用すると、既存の開発環境で作業を行いながら、Java および IBM® MobileFirst Platform プロジェクトのセキュリティーの脆弱性を分析できます。セキュリティー分析は、ソース・コードの脆弱性を特定し、AppScan ソース・セキュリティー・ナレッジベース・データベースの修復支援機能を使用して脆弱性を完全に解消するのに役立ちます。
  - HCL® MobileFirst Platform Application Scanning
    AppScan® Source for Development は、MobileFirst Platform Application Scanning としても配布されています。MobileFirst Platform Application Scanning を使用すると、既存の開発環境で作業を行いながら、IBM® MobileFirst Platform プロジェクトのセキュリティーの脆弱性を分析できます。セキュリティー分析は、ソース・コードの脆弱性を特定し、AppScan ソース・セキュリティー・ナレッジベース・データベースの修復支援機能を使用して脆弱性を完全に解消するのに役立ちます。
  - 用語集
  - AppScan® Source for Development のサーバー・モードおよびローカル・モード
    AppScan® Source for Development プラグインは、AppScan Enterprise Serverの有無にかかわらず使用できます。サーバー・モードでは、以前の製品バージョンと同様に、スキャンを実行したり、共有データにアクセスしたりするために、サーバーに接続します。新しいローカル・モードでは、AppScan Source for Development は AppScan Enterprise Server に接続することなく実行されるため、ユーザーはフィルター、スキャン構成、およびカスタム・ルールなどの共有項目にアクセスできません。
  - 変数の作成
    AppScan® Source for Analysis で以前に作成された、パス変数に依存している評価またはバンドルを開くには、一致する変数を開発環境で作成する必要があります。変数を作成すると、複数のコンピューターでデータを使用できるようになります。評価データを共有するには、適切な変数を定義する必要があります。
  - スキャンの構成
    スキャン対象のプロジェクトのタイプや実行するスキャンのタイプによっては、実行前にスキャンを構成することが必要な場合があります。例えば、デフォルトで設定されたコンパイラー以外の JDK コンパイラーまたは JSP コンパイラーを使用するようにプロジェクトを構成できます。
  - 一般設定
    全般設定では、ユーザーの好みに合わせて、AppScan® Source for Development のデフォルト設定の一部を調整できます。
  - 一般設定
    全般設定では、ユーザーの好みに合わせて、AppScan® Source for Development のデフォルト設定の一部を調整できます。
  - ワークスペース、プロジェクト、およびファイルのスキャン
    Eclipse のワークスペース、プロジェクト、またはファイルをスキャンすることができます。これには、Java™ (Android を含む)、JavaServer Pages (JSP)、および IBM® MobileFirst Platform プロジェクトのスキャンが含まれます。
    - スキャンに関する考慮事項
      このトピックでは、スキャンに影響を与える可能性のある制限事項と考慮事項について説明します。
    - MobileFirst Platform プロジェクトのスキャン
      MobileFirst Platform プロジェクトは、他のプロジェクト・タイプと同じ方法でスキャンされますが、注意すべき考慮事項がいくつかあります。このヘルプ・トピックでは、その考慮事項について説明します。
    - スキャン構成
      スキャン構成はスキャンの起動時に使用され、多くの場合、良好なスキャン結果をもたらします。AppScan® ソースの標準装備スキャン構成にはサーバー・モードかローカル・モードでアクセスできます。さらに、カスタム・スキャン構成を AppScan Source for Analysis で作成し、AppScan Enterprise Server で共有し、サーバー・モードの AppScan Source for Development からアクセスすることができます。
    - スキャンのキャンセルまたは停止
      進行中のスキャンをキャンセルできますが、スキャンをキャンセルすると、そのスキャンのデータはすべて失われます。あるいは、スキャンを停止してスキャンを一時停止し、それまでに検出された結果を使用して評価を生成できます。
  - 評価のオープンおよび保存
    AppScan® ソースは、ソース・コードをスキャンして脆弱性を検出し、検出結果を生成します。検出結果とは、スキャンによって検出された脆弱性のことです。スキャンの結果は、評価と呼ばれます。保存済みの評価は、AppScan Source for Development または AppScan Source for Analysis から開くことができます。スキャンの終了後、この評価をファイルに保存できます。その後、この評価をいつでも開くことができます。評価は filename.ozasmt として保存されます。
  - 検出結果表のカスタマイズ
    検出結果を含むすべてのビュー (AppScan® Source for Analysis の「差分評価」ビューを除く) で、表示したい列と列順序のみを指定することで、検出結果表をカスタマイズできます。各ビューで異なる設定を使用できますが、オプションをすべてのビューに適用することもできます。列順序をカスタマイズするには、このタスク・トピックの手順に従ってください。
  - 評価への選択した検出結果の保存
  - 検出結果の検索
    検出結果を含む複数のビューで、特定の検出結果を検索できます。検索基準には、バンドル、コード、ファイル、プロジェクト、または脆弱性タイプが含まれます。検出結果が「検索結果」ビューに表示されます。
  - 検出結果の変更
    変更された検出結果とは、脆弱性タイプ、分類、または重大度が変更された検出結果、あるいは注釈が付けられた検出結果です。「変更された検出結果」ビューには、現在のアプリケーション (アプリケーションの評価を開いた結果、アクティブになっているアプリケーション) について、これらの検出結果が表示されます。「自分の評価」ビュー ( AppScan® Source for Analysisでのみ使用可能) では、「変更済み」列に、検出結果が現在の評価で変更されたかどうかが示されます。
  - セキュリティー問題の解決と修復支援の表示
    AppScan® ソースは、セキュリティー・エラーまたは一般的な設計上の障害について警告し、解決のプロセスを支援します。AppScan ソース・セキュリティー・ナレッジベース・データベースや、内部または外部のコード・エディターが、このプロセスで役立ちます。
  - 除外を使用したトリアージ
    スキャン後に、一部の検出結果が現在の作業に関係ないと判断した場合、スキャン結果のトリアージを行う際にその検出結果を検出結果表に表示しないようにします。これらの除外 (または除外された検出結果) は、「検出結果」ビューに表示されなくなり、評価メトリックは、変更された結果によって直ちに更新されます。構成に追加されたフィルターおよびバンドルの除外は、後続のスキャンに対してのみ実施されます。
  - フィルターの作成および管理
    AppScan® ソースには、フィルターを作成および使用するための方法が複数用意されています。フィルター作成用のメイン・ビューである「フィルター・エディター」ビューには一連の堅固なルールが備えられ、これらを手動で設定し、フィルターに保存できます。「フィルター・エディター」ビューには、作成済みのフィルターを管理するメカニズムも用意されています。これにより、フィルターを容易に変更または削除できます。また、検出結果をグラフィカルに表現するビューを使用して検出結果表をフィルタリングし、それらのフィルターを「フィルター・エディター」ビューで保存することもできます。フィルターを作成すると、他のビューもフィルター・プロパティーを反映するように更新されます。
  - サポートされる注釈と属性
    コードの装飾に使用される一部の注釈および属性は、スキャン中に処理されます。スキャン中に、サポートされる注釈または属性がコード内で検出されると、装飾されたメソッドに、汚染されたコールバックとしてマークを付けるために、その情報が使用されます。汚染されたコールバックとしてマークされたメソッドは、すべての引数に汚染されたデータがあるものとして扱われます。その結果、トレースでより多くの検出結果が得られます。このヘルプ・トピックでは、サポートされる注釈および属性のリストを示します。
  - バンドルの操作
    バンドル (検出結果をグループ化するメカニズム) を使用すると、AppScan® Source for Analysis から AppScan Source for Development に、検出結果のスナップショットをインポートすることができます。検出結果をバンドルにすると、AppScan Source for Development を使用して、バンドルが含まれたプロジェクトを開いたり、バンドルをインポートしたり、保存されたバンドル・ファイル (file_name.ozbdl) を開いたりできます。
  - AppScan® ソーストレース
    AppScan® ソーストレースを使用して、入力データの検証およびエンコードが自社のソフトウェア・セキュリティー・ポリシーに沿うものであることを確認できます。入出力トレース・データの生成元になる検出結果を調べて、メソッドを検証ルーチンおよびエンコード・ルーチン、ソースまたはシンク、コールバック、あるいは汚染伝播元としてマークすることができます。
  - ビューとウィンドウ
    AppScan® Source for Development の各ビューおよびウィンドウは、検出結果を別の様式で表現します。これらのビューおよびウィンドウでは、コード編集がサポートされており、ワークベンチ内の情報をナビゲートすることができます。ビューは単独で表示される場合も、タブ付きのノートブック形式で他のビューと重なって表示される場合もあります。ビューを開いたり閉じたりすることによって、またビューを「ワークベンチ」ウィンドウ内のさまざまな位置に配置することによって、パースペクティブのレイアウトやウィンドウのレイアウトを変更できます。
  - インストールとユーザー・データ・ファイルの場所
    AppScan® ソースをインストールすると、ユーザー・データ・ファイルおよび構成ファイルは、インストール・ディレクトリー以外の場所に保管されます。
  - CWE サポート
    共通脆弱性タイプ一覧 (CWE: Common Weakness Enumeration) は、公的に認識されているソフトウェアの脆弱性に関する一般名を提供する業界標準のリストです。このトピックでは、AppScan® ソースの現行バージョンでサポート対象の CWE ID を示します。
  - Intelligent Findings Analytics (IFA)
    検出結果の自動トリアージと分析の詳細は、AppScan® ソースを参照してください。
参照
HCL®AppScan® ソースの参照情報 (ユーティリティー、プラグイン、および API の使用を含む) を確認します。
トラブルシューティングおよびサポート
HCL®AppScan® ソースの使用中に発生する問題のトラブルシューティングに役立つ、セルフ・ヘルプ情報、リソース、およびツール。

MobileFirst Platform プロジェクトのスキャン

MobileFirst Platform プロジェクトは、他のプロジェクト・タイプと同じ方法でスキャンされますが、注意すべき考慮事項がいくつかあります。このヘルプ・トピックでは、その考慮事項について説明します。

変更されているファイルを含む MobileFirst Platform プロジェクトをスキャンする場合、スキャン前に MobileFirst Platform を使用してプロジェクトを再ビルドする必要があります。MobileFirst Platform を使用してプロジェクトを再ビルドしない場合、ファイルに対する変更は AppScan® ソースに無視されます。

ワークスペース、プロジェクト、およびファイルのスキャンの手順に従って MobileFirst Platform プロジェクトのスキャンを起動できます。あるいは、プロジェクト・レベル、アプリケーション・レベル、環境 (android) レベル、アプリケーション環境下の common フォルダー、HTML ファイル・レベル、あるいは Xcode プロジェクト・レベル (macOS のみ) を右クリックし、メニューから「スキャンの実行」を選択することもできます。

スキャンに android 環境が含まれている場合、最初に MobileFirst Platform を使用してプロジェクトをビルドする必要があります。
MobileFirst Platform プロジェクト内の Android コードをスキャンできるようにするには、Android アプリケーション開発用の Android Developer Tools (ADT) Eclipse プラグインを使用する必要があります。

注: MobileFirst Platform バージョン 6.1 プロジェクトのスキャン時には、スキャンの開始が非常に遅くなる場合があります。AppScan Source for Development Eclipse プラグインを使用するWorklight 6.1 アプリケーションのスキャン遅延に関する詳細については、HCL Support にお問い合わせください。