ホーム
プロダクト機能の拡張
特定の開発要件を満たすために製品を拡張する方法について説明します。
HCL®AppScan® Source for Development (Eclipse プラグイン)
AppScan® Source for Development を使用すると、既存の開発環境で作業を行いながら、Java および IBM® MobileFirst Platform プロジェクトのセキュリティーの脆弱性を分析できます。セキュリティー分析は、ソース・コードの脆弱性を特定し、AppScan ソース・セキュリティー・ナレッジベース・データベースの修復支援機能を使用して脆弱性を完全に解消するのに役立ちます。
ビューとウィンドウ
AppScan® Source for Development の各ビューおよびウィンドウは、検出結果を別の様式で表現します。これらのビューおよびウィンドウでは、コード編集がサポートされており、ワークベンチ内の情報をナビゲートすることができます。ビューは単独で表示される場合も、タブ付きのノートブック形式で他のビューと重なって表示される場合もあります。ビューを開いたり閉じたりすることによって、またビューを「ワークベンチ」ウィンドウ内のさまざまな位置に配置することによって、パースペクティブのレイアウトやウィンドウのレイアウトを変更できます。
「レポート」ビュー
「レポート」ビューでは、ソフトウェア・セキュリティーのベスト・プラクティスと規制要件へのコンプライアンスを測定するさまざまな監査レポートに基づいてスキャン結果を編成することができます。
DISA Application Security and Development STIG レポート
このトピックでは、Defense Information Systems Agency (DISA) Application Security and Development Security Technical Implementation Guide (STIG) の Web サイトおよびガイダンス文書のリンクを示します。

ようこそ
HCL®AppScan® ソースの文書へようこそ。
新機能
以下の、AppScan® ソースに追加された新機能と、このリリースで非推奨になった機能についての注意について説明します。
インストール
HCL®AppScan® ソースのインストール、アップグレード、およびアクティブ化の方法について説明します。
構成
HCL®AppScan® ソースでの、アプリケーションとプロジェクトの構成、および属性とプロパティーの設定の方法について説明します。
の管理
HCL®AppScan® ソースでの、ユーザー・アカウントと許可の管理、ユーザー・アクティビティーの監査、および統合の管理の方法について説明します。
スキャン
このセクションでは、HCL®AppScan® ソースでのソース・コードのスキャン方法および評価の管理方法について説明します。
トリアージおよび分析
類似した検出結果をグループ化することにより、セキュリティー・アナリストや IT 監査員はソース・コードの問題をセグメント化し、トリアージできます。このセクションでは、AppScan® ソース評価のトリアージを行い、結果を分析する方法について説明します。
レポート作成
セキュリティー・アナリストおよびリスク・マネージャーは、選択された検出結果のレポート、またはソフトウェア・セキュリティーのベスト・プラクティスおよび法的要件へのコンプライアンスを測定するための一連の監査レポートにアクセスできます。このセクションでは、集約された検出結果データのレポートを作成する方法について説明します。
プロダクト機能の拡張
特定の開発要件を満たすために製品を拡張する方法について説明します。
- 脆弱性データベースとパターン・ルールのカスタマイズ
  このセクションでは、脆弱性データベースをカスタマイズし、カスタマイズした脆弱性やその他のルーチンをスキャンに組み込む方法について説明します。
- アプリケーション・サーバーのインポート・フレームワークの拡張
  AppScan® ソースでは、Apache Tomcat および WebSphere® アプリケーション・サーバー Liberty プロファイルから Java™ アプリケーションをインポートできます。このトピックで説明するように、アプリケーション・サーバーのインポート・フレームワークを拡張することにより、他のアプリケーションから Java アプリケーションをインポートできます。
- HCL®AppScan® Source for Development (Eclipse プラグイン)
  AppScan® Source for Development を使用すると、既存の開発環境で作業を行いながら、Java および IBM® MobileFirst Platform プロジェクトのセキュリティーの脆弱性を分析できます。セキュリティー分析は、ソース・コードの脆弱性を特定し、AppScan ソース・セキュリティー・ナレッジベース・データベースの修復支援機能を使用して脆弱性を完全に解消するのに役立ちます。
  - HCL® MobileFirst Platform Application Scanning
    AppScan® Source for Development は、MobileFirst Platform Application Scanning としても配布されています。MobileFirst Platform Application Scanning を使用すると、既存の開発環境で作業を行いながら、IBM® MobileFirst Platform プロジェクトのセキュリティーの脆弱性を分析できます。セキュリティー分析は、ソース・コードの脆弱性を特定し、AppScan ソース・セキュリティー・ナレッジベース・データベースの修復支援機能を使用して脆弱性を完全に解消するのに役立ちます。
  - 用語集
  - AppScan® Source for Development のサーバー・モードおよびローカル・モード
    AppScan® Source for Development プラグインは、AppScan Enterprise Serverの有無にかかわらず使用できます。サーバー・モードでは、以前の製品バージョンと同様に、スキャンを実行したり、共有データにアクセスしたりするために、サーバーに接続します。新しいローカル・モードでは、AppScan Source for Development は AppScan Enterprise Server に接続することなく実行されるため、ユーザーはフィルター、スキャン構成、およびカスタム・ルールなどの共有項目にアクセスできません。
  - 変数の作成
    AppScan® Source for Analysis で以前に作成された、パス変数に依存している評価またはバンドルを開くには、一致する変数を開発環境で作成する必要があります。変数を作成すると、複数のコンピューターでデータを使用できるようになります。評価データを共有するには、適切な変数を定義する必要があります。
  - スキャンの構成
    スキャン対象のプロジェクトのタイプや実行するスキャンのタイプによっては、実行前にスキャンを構成することが必要な場合があります。例えば、デフォルトで設定されたコンパイラー以外の JDK コンパイラーまたは JSP コンパイラーを使用するようにプロジェクトを構成できます。
  - 一般設定
    全般設定では、ユーザーの好みに合わせて、AppScan® Source for Development のデフォルト設定の一部を調整できます。
  - 一般設定
    全般設定では、ユーザーの好みに合わせて、AppScan® Source for Development のデフォルト設定の一部を調整できます。
  - ワークスペース、プロジェクト、およびファイルのスキャン
    Eclipse のワークスペース、プロジェクト、またはファイルをスキャンすることができます。これには、Java™ (Android を含む)、JavaServer Pages (JSP)、および IBM® MobileFirst Platform プロジェクトのスキャンが含まれます。
  - 評価のオープンおよび保存
    AppScan® ソースは、ソース・コードをスキャンして脆弱性を検出し、検出結果を生成します。検出結果とは、スキャンによって検出された脆弱性のことです。スキャンの結果は、評価と呼ばれます。保存済みの評価は、AppScan Source for Development または AppScan Source for Analysis から開くことができます。スキャンの終了後、この評価をファイルに保存できます。その後、この評価をいつでも開くことができます。評価は filename.ozasmt として保存されます。
  - 検出結果表のカスタマイズ
    検出結果を含むすべてのビュー (AppScan® Source for Analysis の「差分評価」ビューを除く) で、表示したい列と列順序のみを指定することで、検出結果表をカスタマイズできます。各ビューで異なる設定を使用できますが、オプションをすべてのビューに適用することもできます。列順序をカスタマイズするには、このタスク・トピックの手順に従ってください。
  - 評価への選択した検出結果の保存
  - 検出結果の検索
    検出結果を含む複数のビューで、特定の検出結果を検索できます。検索基準には、バンドル、コード、ファイル、プロジェクト、または脆弱性タイプが含まれます。検出結果が「検索結果」ビューに表示されます。
  - 検出結果の変更
    変更された検出結果とは、脆弱性タイプ、分類、または重大度が変更された検出結果、あるいは注釈が付けられた検出結果です。「変更された検出結果」ビューには、現在のアプリケーション (アプリケーションの評価を開いた結果、アクティブになっているアプリケーション) について、これらの検出結果が表示されます。「自分の評価」ビュー ( AppScan® Source for Analysisでのみ使用可能) では、「変更済み」列に、検出結果が現在の評価で変更されたかどうかが示されます。
  - セキュリティー問題の解決と修復支援の表示
    AppScan® ソースは、セキュリティー・エラーまたは一般的な設計上の障害について警告し、解決のプロセスを支援します。AppScan ソース・セキュリティー・ナレッジベース・データベースや、内部または外部のコード・エディターが、このプロセスで役立ちます。
  - 除外を使用したトリアージ
    スキャン後に、一部の検出結果が現在の作業に関係ないと判断した場合、スキャン結果のトリアージを行う際にその検出結果を検出結果表に表示しないようにします。これらの除外 (または除外された検出結果) は、「検出結果」ビューに表示されなくなり、評価メトリックは、変更された結果によって直ちに更新されます。構成に追加されたフィルターおよびバンドルの除外は、後続のスキャンに対してのみ実施されます。
  - フィルターの作成および管理
    AppScan® ソースには、フィルターを作成および使用するための方法が複数用意されています。フィルター作成用のメイン・ビューである「フィルター・エディター」ビューには一連の堅固なルールが備えられ、これらを手動で設定し、フィルターに保存できます。「フィルター・エディター」ビューには、作成済みのフィルターを管理するメカニズムも用意されています。これにより、フィルターを容易に変更または削除できます。また、検出結果をグラフィカルに表現するビューを使用して検出結果表をフィルタリングし、それらのフィルターを「フィルター・エディター」ビューで保存することもできます。フィルターを作成すると、他のビューもフィルター・プロパティーを反映するように更新されます。
  - サポートされる注釈と属性
    コードの装飾に使用される一部の注釈および属性は、スキャン中に処理されます。スキャン中に、サポートされる注釈または属性がコード内で検出されると、装飾されたメソッドに、汚染されたコールバックとしてマークを付けるために、その情報が使用されます。汚染されたコールバックとしてマークされたメソッドは、すべての引数に汚染されたデータがあるものとして扱われます。その結果、トレースでより多くの検出結果が得られます。このヘルプ・トピックでは、サポートされる注釈および属性のリストを示します。
  - バンドルの操作
    バンドル (検出結果をグループ化するメカニズム) を使用すると、AppScan® Source for Analysis から AppScan Source for Development に、検出結果のスナップショットをインポートすることができます。検出結果をバンドルにすると、AppScan Source for Development を使用して、バンドルが含まれたプロジェクトを開いたり、バンドルをインポートしたり、保存されたバンドル・ファイル (file_name.ozbdl) を開いたりできます。
  - AppScan® ソーストレース
    AppScan® ソーストレースを使用して、入力データの検証およびエンコードが自社のソフトウェア・セキュリティー・ポリシーに沿うものであることを確認できます。入出力トレース・データの生成元になる検出結果を調べて、メソッドを検証ルーチンおよびエンコード・ルーチン、ソースまたはシンク、コールバック、あるいは汚染伝播元としてマークすることができます。
  - ビューとウィンドウ
    AppScan® Source for Development の各ビューおよびウィンドウは、検出結果を別の様式で表現します。これらのビューおよびウィンドウでは、コード編集がサポートされており、ワークベンチ内の情報をナビゲートすることができます。ビューは単独で表示される場合も、タブ付きのノートブック形式で他のビューと重なって表示される場合もあります。ビューを開いたり閉じたりすることによって、またビューを「ワークベンチ」ウィンドウ内のさまざまな位置に配置することによって、パースペクティブのレイアウトやウィンドウのレイアウトを変更できます。
    - 「評価の概要」ビュー
      開いている評価を棒グラフでグラフィカルに示す「評価の概要」ビューには、選択された検出結果の情報が表示されます。
    - 「脆弱性マトリックス」ビュー
      「脆弱性マトリックス」ビューには、スキャンに含まれるすべてのアプリケーションの検出結果の総数が表示されます。検出結果を変更すると、マトリックスが更新されます。
    - 「フィルター・エディター」ビュー
      「フィルター・エディター」ビューでは、現在選択されているフィルターを、AppScan® ソースビューよりもきめ細かく操作することができます。このビューは、フィルタリングが可能なすべての基準で構成されています。
    - 検出結果表
    - 「検出結果」ビュー
      「検出結果」ビューには、評価における検出結果のデータが表示されます。このトピックにリストされているパラメーターによって検出結果をグループ化することができます。
    - 「除外された検出結果」ビュー
      「除外された検出結果」ビューには、除外された検出結果のみが表示されます。除外された検出結果とは、スキャンから除外した検出結果です。このビューでは、特定の検出結果を検索できます。このビュー内の列は、「検出結果」ビュー内の列と同一です。
    - 「変更された検出結果」ビュー
      「変更された検出結果」ビューには、現行アプリケーションの、変更されたすべての検出結果が表示されます。変更された検出結果 とは、脆弱性タイプ、重大度、分類、または注が変更された検出結果です。失われた検出結果 (現在開いている評価には存在しない検出結果) は、緑のイタリック体で表示され、変更できません。
    - 「解決済みの検出結果」ビュー
      「解決済みの検出結果」ビューには、バンドル内にはあっても、現在の評価には含まれない検出結果が示されます。検出結果が修正された/存在しない検出結果として識別されるのは、それが解決されたか、削除されたか、またはソース・ファイルがスキャンされなかったためです。
    - 「検索結果」ビュー
      検出結果を検索すると、その結果が「検索結果」ビューに表示されます。
    - 「カスタム検出結果」ビュー
      「カスタム検出結果」ビューには、現在開いている評価に存在するユーザー定義の検出結果 (カスタム検出結果) が表示されます。このビューでは、現在の評価のカスタム検出結果の作成、削除、および変更を実行できます。「カスタム検出結果」ビューでカスタム検出結果を作成すると、新規の検出結果が現在の評価に追加され、評価メトリックが更新されます。
    - 「レポート」ビュー
      「レポート」ビューでは、ソフトウェア・セキュリティーのベスト・プラクティスと規制要件へのコンプライアンスを測定するさまざまな監査レポートに基づいてスキャン結果を編成することができます。
      - CWE Top 25 2021 レポート
        CWE Top 25 2021 レポートは、「2021 CWE 最も危険なソフトウェア・エラー TOP 25」に基づいています。
      - DISA Application Security and Development STIG レポート
        このトピックでは、Defense Information Systems Agency (DISA) Application Security and Development Security Technical Implementation Guide (STIG) の Web サイトおよびガイダンス文書のリンクを示します。
      - 2017 年および 2021 年 Open Web Application Security Project (OWASP) Top 10 レポート
        このトピックでは、Open Web Application Security Project (OWASP) の Web サイトおよびガイダンス文書のリンクを示します。
      - Open Web Application Security Project (OWASP) Mobile Top 10 レポート
        このトピックでは、Open Web Application Security Project (OWASP) の Web サイトおよびガイダンス文書のリンクを示します。
      - Payment Card Industry Data Security Standard (PCI DSS) バージョン 3.2 レポート
      - Software Security Profile レポート
        Software Security Profile によって、アプリケーションのセキュリティーに直接関連するアプリケーションの特性の包括的な分析が提示されます。特定のプロジェクトにおけるソフトウェアの重要なセキュリティー機能の詳細な監査が示されます。このレポートは、ソフトウェアをデプロイメント用に認定する前に、暗号化、アクセス制御、ロギング、エラー処理などの要件の実装を検証するために役立ちます。
    - 「検出結果の詳細」ビュー
      検出結果を選択すると、「検出結果の詳細」ビューが表示され、そのプロパティーを変更できます。このビューでは、個々の検出結果を変更できます。
    - 「メトリック」ビュー
      「メトリック」ビューには、評価ごとの統計が表示されます。この統計には、スキャンされたコード行、検出結果の総数、V-Density、および V/KLoC が含まれます。
    - 「バンドル」ビュー
      「バンドル」ビューには、AppScan® Source for Development ワークスペース/アプリケーションに関連付けられているすべてのバンドル (バンドル内のすべてのプロジェクトを含む) が表示されます (「除外されたバンドル」以外のすべてのバンドルは、あらかじめ AppScan Source for Analysis で作成されている必要があります)。
    - 「修正方法」ビュー
      AppScan® ソース・セキュリティー・ナレッジベース・データベースでは、それぞれの脆弱性について、コンテキスト固有の情報が提供されます。ナレッジベース・データベースによって、脆弱性の内容、安全ではない理由、解決方法、および今後回避する方法を知ることができます。ソース・コードをスキャンすると、ナレッジベース・データベースはミッション・クリティカルなアプリケーションからリスクを排除するために必要な固有情報を提供します。「修正方法」ビューには、ナレッジベース・データベースの修復のアドバイスが表示されます。スキャンすると、ナレッジベース・データベースはミッション・クリティカルなアプリケーションからリスクを排除するために必要な固有情報を提供します。
    - 「トレース」ビュー
      AppScan® ソースは、入出力の分析を実行し、それらの脆弱性を特定して表示します。AppScan ソーストレース・グラフを含む行を示すアイコンが、検出結果リストに表示されます。
    - 「ソースとシンク」ビュー
      「ソースとシンク」ビューでは、入力および出力のトレースに基づいて検出結果を表示できます。
    - Eclipse エディターと AppScan® ソース
      エディターには、現在のプロジェクトのソース・コードが表示されます。「検出結果」ビュー、「問題」ビュー、または「バンドル」ビューでエラーにナビゲートすると、エディター内の対応するコード行に下線が表示されます。左側のスクロール・バーには、吹き出しヘルプが表示されます。右側のスクロール・バーには、コードの脆弱性の場所を示す問題マーカーが表示されます。
    - 「問題」ビュー
      「問題」ビューには、コードの問題、エラー、および警告が表示されます。問題、エラー、または警告のアイコンをダブルクリックすると、Java™ エディターが開き、問題のコードが下線付きで表示されます。
  - インストールとユーザー・データ・ファイルの場所
    AppScan® ソースをインストールすると、ユーザー・データ・ファイルおよび構成ファイルは、インストール・ディレクトリー以外の場所に保管されます。
  - CWE サポート
    共通脆弱性タイプ一覧 (CWE: Common Weakness Enumeration) は、公的に認識されているソフトウェアの脆弱性に関する一般名を提供する業界標準のリストです。このトピックでは、AppScan® ソースの現行バージョンでサポート対象の CWE ID を示します。
  - Intelligent Findings Analytics (IFA)
    検出結果の自動トリアージと分析の詳細は、AppScan® ソースを参照してください。
参照
HCL®AppScan® ソースの参照情報 (ユーティリティー、プラグイン、および API の使用を含む) を確認します。
トラブルシューティングおよびサポート
HCL®AppScan® ソースの使用中に発生する問題のトラブルシューティングに役立つ、セルフ・ヘルプ情報、リソース、およびツール。

DISA Application Security and Development STIG レポート

このトピックでは、Defense Information Systems Agency (DISA) Application Security and Development Security Technical Implementation Guide (STIG) の Web サイトおよびガイダンス文書のリンクを示します。

HCL®AppScan® ソースでは、DISA STIG v4r10、および v5r1 レポート形式をサポートします。

「DISA Application Security and Development STIG」については、https://public.cyber.mil/stigs/を参照してください。