ホーム
プロダクト機能の拡張
特定の開発要件を満たすために製品を拡張する方法について説明します。
脆弱性データベースとパターン・ルールのカスタマイズ
このセクションでは、脆弱性データベースをカスタマイズし、カスタマイズした脆弱性やその他のルーチンをスキャンに組み込む方法について説明します。
パターン・ベースのルールによるカスタマイズ
AppScan® Source のパターン・ベースのスキャンは、カスタマイズされた検索基準に基づいてソース・コードの分析を行う機能です。パターン・ベースのスキャンは、grep と似ています (grep では、1 つ以上のファイルに対して指定された文字列やパターンを検索します)。トリアージを行う監査員またはセキュリティー・アナリストは、パターン・ベースのスキャンを使用して、特定のアプリケーションまたはプロジェクトから特定のパターンを検索する場合があります。パターンを脆弱性タイプとして定義しておくと、ソース・コードのスキャンで、そのパターンを脆弱性として識別します。一致項目が AppScan Source によって検出されると、その項目が検出結果表に表示されます。すぐに使用できる AppScan Source ルール・ライブラリーに、定義済みのルールとルール・セット (ルールの集合) が格納されています。
パターン・ルール
AppScan® Source のテキスト・ルールは、Extended Global Regular Expressions Print (egrep)、Global Regular Expressions (grep)、Perl のいずれかの正規表現として指定することができます。これらの正規表現 (英数字と特殊文字のみの組み合わせを使用する文字列値を含む表現) により、ルールのマッチングが実行されます。
パターン・ルールの変更と削除
作成したパターン・ルールは、「パターン・ルール・ライブラリー」ビューで変更または削除できます。

ようこそ
HCL® AppScan® Source の文書へようこそ。
新機能
以下の、AppScan® Source に追加された新機能と、このリリースで非推奨になった機能についての注意について説明します。
インストール
HCL® AppScan® Source のインストール、アップグレード、およびアクティブ化の方法について説明します。
構成
HCL® AppScan® Source でアプリケーション、フォルダー、プロジェクトを構成し、属性とプロパティーを設定する方法について説明します。
の管理
HCL® AppScan® Source での、ユーザー・アカウントと許可の管理、ユーザー・アクティビティーの監査、および統合の管理の方法について説明します。
スキャン
このセクションでは、HCL® AppScan® Source でのソース・コードのスキャン方法および評価の管理方法について説明します。
トリアージおよび分析
類似した検出結果をグループ化することにより、セキュリティー・アナリストや IT 監査員はソース・コードの問題をセグメント化し、トリアージできます。このセクションでは、AppScan® Source 評価のトリアージを行い、結果を分析する方法について説明します。
レポート作成
セキュリティー・アナリストおよびリスク・マネージャーは、選択された検出結果のレポート、またはソフトウェア・セキュリティーのベスト・プラクティスおよび法的要件へのコンプライアンスを測定するための一連の監査レポートにアクセスできます。このセクションでは、集約された検出結果データのレポートを作成する方法について説明します。
プロダクト機能の拡張
特定の開発要件を満たすために製品を拡張する方法について説明します。
- 脆弱性データベースとパターン・ルールのカスタマイズ
  このセクションでは、脆弱性データベースをカスタマイズし、カスタマイズした脆弱性やその他のルーチンをスキャンに組み込む方法について説明します。
  - AppScan® Source Security Knowledgebase の拡張
    このセクションでは、脆弱性データベースをカスタマイズし、カスタマイズした脆弱性やその他のルーチンをスキャンに組み込む方法について説明します。カスタム・ルールを使用して、AppScan® Source Security Knowledgebase (脆弱性データベース) を自社独自のセキュリティー標準に合わせて調整し、これらの標準を社内全体で一貫して適用することができます。
  - AppScan® Source trace による入出力トレースのカスタマイズ
    一部のアプリケーション (特に Web アプリケーション) では、SQL 注入、コマンド注入、クロスサイト・スクリプティングに関連するセキュリティーの脆弱性を識別するために、入出力トレースが必要になります。AppScan® Source トレースにより、検証ルーチンを指定することができます。この検証ルーチンを使用すると、脆弱性レポートを作成する必要がなくなります。入力が検証されなかった場合は、他のすべての出力が脆弱性としてマークされます。
  - パターン・ベースのルールによるカスタマイズ
    AppScan® Source のパターン・ベースのスキャンは、カスタマイズされた検索基準に基づいてソース・コードの分析を行う機能です。パターン・ベースのスキャンは、grep と似ています (grep では、1 つ以上のファイルに対して指定された文字列やパターンを検索します)。トリアージを行う監査員またはセキュリティー・アナリストは、パターン・ベースのスキャンを使用して、特定のアプリケーションまたはプロジェクトから特定のパターンを検索する場合があります。パターンを脆弱性タイプとして定義しておくと、ソース・コードのスキャンで、そのパターンを脆弱性として識別します。一致項目が AppScan Source によって検出されると、その項目が検出結果表に表示されます。すぐに使用できる AppScan Source ルール・ライブラリーに、定義済みのルールとルール・セット (ルールの集合) が格納されています。
    - パターン・ルール・セット
      パターン・ルール・セットはパターン・ルールのコレクションです。新規のパターン・ルール・セットを追加、または既存のパターン・ルール・セットの変更、削除ができます。 AppScan® Source には言語固有の一連のパターン・ルール・セットが用意されており、プロジェクトまたはアプリケーションにそれらのパターン・ルール・セットを適用するように選択できます (例えば Java/JSP プロジェクトに Java パターン・ルール・セットを適用できます) 。
    - パターン・ルール
      AppScan® Source のテキスト・ルールは、Extended Global Regular Expressions Print (egrep)、Global Regular Expressions (grep)、Perl のいずれかの正規表現として指定することができます。これらの正規表現 (英数字と特殊文字のみの組み合わせを使用する文字列値を含む表現) により、ルールのマッチングが実行されます。
      - テキスト・パターンの検索
        指定されたソース・ファイル内のパターン・ベースのスキャンは、拡張子別のファイル内でテキスト・パターンを検索します。そのため、ソース・ファイル、XML 構成ファイル、およびその他のテキスト・ファイル内を検索できます。
      - パターン・ルールの作成
        ルールは、「パターン・ルール・ライブラリー」ビュー、プロジェクトやアプリケーションの「プロパティー」ビュー、またはスキャン構成で作成できます。
      - パターン・ルールの変更と削除
        作成したパターン・ルールは、「パターン・ルール・ライブラリー」ビューで変更または削除できます。
    - パターン・ルールとパターン・ルール・セットの適用
      ルールとルール・セットは、「プロパティー」ビューまたはスキャン構成のアプリケーション・レベルまたはプロジェクト・レベルで適用されます。ルールが適用されたアプリケーションまたはプロジェクトをスキャンしたり、ルールを含むスキャン構成を使用したりすると、ルール検索の結果がビューに表示されます。
    - 「パターン・ルール・ライブラリー」ビュー
      パターン・ベースのスキャンは、カスタマイズされた検索基準に基づいてソース・コードの分析を行う機能です。「パターン・ルール・ライブラリー」ビューを使用すると、既存のパターン・ベースのルールを言語別に表示できます (すぐに使用できる AppScan® Source パターン・ルール・ライブラリーも含まれています)。このビューでは、パターン・ベースのスキャンに使用するルールやパターンを追加することもできます。
- アプリケーション・サーバーのインポート・フレームワークの拡張
  AppScan® Source では、Apache Tomcat および WebSphere® Application Server Liberty プロファイルから Java™ アプリケーションをインポートできます。このトピックで説明するように、アプリケーション・サーバーのインポート・フレームワークを拡張することにより、他のアプリケーションから Java アプリケーションをインポートできます。
- HCL®AppScan® Source for Development (Eclipse Plug-in)
  AppScan® Source for Development を使用すると、既存の開発環境で作業を行いながら、Java および IBM® MobileFirst Platform プロジェクトのセキュリティーの脆弱性を分析できます。セキュリティー分析は、ソース・コードの脆弱性を特定し、AppScan Source Security Knowledgebaseの修復支援機能を使用して脆弱性を完全に解消するのに役立ちます。
参照
HCL® AppScan® Source の参照情報 (ユーティリティー、プラグイン、および API の使用を含む) を確認します。
トラブルシューティングおよびサポート
HCL® AppScan® Source の使用中に発生する問題のトラブルシューティングに役立つ、セルフ・ヘルプ情報、リソース、およびツール。

パターン・ルールの変更と削除

作成したパターン・ルールは、「パターン・ルール・ライブラリー」ビューで変更または削除できます。

注: パターン・ルールまたはパターン・ルール・セットの作成やカスタム・ルールとカスタム・ルール・セットの変更と削除を行う場合は、Manage Patterns権限が必要です。

ルールの変更

ルールを編集するには、それを選択して、次のアクションのいずれかを実行します。

「ルールの編集」をクリックします。
右クリックして、「編集」を選択します。

これにより、「ルールの編集」ダイアログ・ボックスが開きます。ここでは、ルール名を除いて任意の設定を変更できます。

ルールの削除

1 つ以上のルールを選択して、次のアクションのいずれかを実行します。

「ルールの削除」をクリックします。
右クリックして「削除」を選択します。