ScanApplication

説明

指定されたアプリケーションをスキャンし、スキャンに関連するその他のアクションを実行します。

構文

ounceauto ScanApplication
-application <name of application>|
  -application_file <path to application file>
[-name <assessment name>]
[-scanconfig <scan_configuration_name>]
[-waitforlicense <wait_time>]
[-save <filename>]
[-caller <caller>]
[-publish]
[-clearcache]
[-report <report type> <output format> <output location>]
[-export <export type> <output location>]
[-includeSrcBefore <n>]
[-includeSrcAfter <n>]
[-includeTraceDefinitive]
[-includeTraceSuspect]
[-includeTraceCoverage]
[-includeHowToFix]
[-appserver_type]
[-include_all_lib_jars] 
[-include_lib_jars] 
[-no_ear_project]

• -application <name of application> または -application_file <path to application file>: いずれか 1 つが必須です。
  • -application <name of application> を指定する場合は、スキャンするアプリケーションの名前を指定します。
  • -application_file <path to application file> を指定する場合は、以下のファイル・タイプのいずれかの絶対パスおよびファイル名を指定します。
    • AppScan® Source アプリケーション・ファイル (.paf)。
    • Eclipse ワークスペース (.ewf)
      注: .ewf ファイルは、 openapplication を使用して、ワークスペース・ディレクトリーを (そのパスを指定して) 開くときに生成されます。
    • WAR ファイル (.war)
    • EAR ファイル (.ear)
    • Windows のみ:Microsoft™ Visual C++ ワークスペース・ファイル (.dsw)
    • Windows のみ:Microsoft™ Visual Studio.NET ソリューション・ファイル (.sln)
    注: AppScan® Source for Analysis、AppScan® Source for Automation、AppScan® Source command line interface でサポートされているインポート・ファイルのバージョンを確認するには、システム要件およびインストールの前提条件を参照してください。このページで、使用している AppScan® Source のバージョンのタブを選択してから、使用している AppScan® Source コンポーネントを選択します。AppScan® Source が他の開発環境からのファイルのオープンおよびスキャンをサポートする場合、そのサポートは、「Supported Software」 タブの 「Compilers and Languages」 セクションにリストされています。
• -name <assessment name>: オプション。評価の名前。
• -scanconfig <scan_configuration_name>: オプション。スキャンに使用するスキャン構成の名前を指定します。スキャン構成を指定していない場合、デフォルトのスキャン構成がスキャンに使用されます。
• -waitforlicense <wait_time>: オプション。AppScan® Source for Automation ライセンスがないときに、スキャンが待機する時間を分単位で指定します。-waitforlicense を使用して待機時間が示されていない場合、デフォルト値が CLI.ozsettings から取得されます。待機時間を無効にするには、値を 0 に設定します。
• -save <filename>: オプション。評価結果をこのファイルに保存します。
• -caller <caller>: オプション。呼び出し元を操作に割り当てます。呼び出し元は実際のユーザーの名前で構いませんが、これは必須ではありません。呼び出し元の名前は、ounceauto ログ・ファイルに書き込まれます。
• -publish: オプション。スキャン後に評価を公開します。
• -clearcache: オプション。スキャンの前に脆弱性分析キャッシュおよびカスタム・ルールのシグニチャー・データを削除します。
• -report: オプション。スキャン後にレポートを生成します。
  • 必須の -report コマンド・オプション:
    • <report type>: レポートのタイプ。レポート・タイプは、検出結果レポート、AppScan® Source レポート、およびカスタム・レポートで構成されます。GenerateReport のオプションを参照してください。
    • <output format>: レポートの形式を指定します。GenerateReport のオプションを参照してください。
    • <output location>: レポートを保存する場所。
  • オプションの -report コマンド・オプション:
    • -includeSrcBefore <n>: 各検出結果の前に組み込むソース・コードの行数。
    • -includeSrcAfter <n>: 各検出結果の後に組み込むソース・コードの行数。
    • -includeTraceDefinitive: 確定の検出結果のレポートにトレース情報を含めます (検出結果の分類については、「分類」を参照してください)。
    • -includeTraceSuspect: 要確認の検出結果のレポートにトレース情報を含めます。
    • -includeTraceCoverage: スキャン範囲の検出結果のレポートにトレース情報を含めます。
• -export: オプション。スキャン検出結果を CSV または SARIF ファイルにエクスポートします。使用する場合は、以下のコマンド・オプションが必要です。
  • <export type>: エクスポートされるレポートの形式 (CSV または SARIF)。
  • <output location>: レポートの保存先のパスおよびファイル名。
• -includeHowToFix: 結果の対処方法と修正方法に関するアドバイザリー情報を含めます。
• -appserver_type: オプション。開いているアプリケーションに JavaServer Pages ( WAR または EAR ファイルなど) が含まれている場合、この設定を使用して JSP コンパイルに使用するアプリケーション・サーバーを指定します。以下のいずれかを二重引用符で囲んで指定します。
  • Tomcat 8
  • Tomcat 9
  • WebSphere 7.0
  • WebSphere 8.0
  • WebSphere 8.5
  • WebLogic 11g
  • WebLogic 12c
  注:

  • アプリケーション・サーバーを指定する前に、AppScan® Source for Analysis の設定にそのアプリケーション・サーバーが正しく構成されていることを確認してください。
  • -appserver_type が使用されない場合、 AppScan® Source for Analysis に現在設定されているデフォルトの JSP コンパイラーが JSP のコンパイルに使用されます。製品に付属の Tomcat 9 がデフォルトの JSP コンパイラーです。
• WAR ファイルの場合:
  • -include_all_lib_jars: スキャン時に WAR ファイル内のすべてのライブラリーを組み込むには、この設定を使用します。
  • -include_lib_jars: スキャン時に WAR ファイル内のライブラリーを指定するには、この設定を使用します。この設定を使用する際には、ライブラリーのパス情報を含めないでください。また、ライブラリーが複数ある場合はコンマで区切ってください。
• -no_ear_project:EAR ファイルをインポートする場合、共有ライブラリーを保管するためのプロジェクトが自動的に作成されます。このプロジェクトは、共有ライブラリーが存在しない場合に作成されますが、内容は空になります。この設定を使用すると、 EAR ファイルに対してプロジェクトは作成されません。

戻り値

要求の実行依頼が正常に実行された場合は要求 ID、正常に実行されなかった場合は -1。

例

• WebGoat アプリケーションをスキャンして公開し、John Smith が呼び出し元であるという注釈をログに付けます。

  ounceauto scanapplication -application_file C:\WebGoat\WebGoat.paf
  -publish -caller JohnSmith

• WebGoat アプリケーションをスキャンして、C:\WebGoat directory ディレクトリーに検出結果レポートを作成します。レポートで、確定の検出結果にトレース情報を含めるには以下のようにします。

  ounceauto scanapplication -application WebGoat
  -report Findings html C:\WebGoat\MyReport.html
  -includeTraceDefinitive

• WAR ファイルをスキャンして、そのライブラリーの一部のみ組み込みます。

  ounceauto scanapplication -application_file c:\mywar.war 
  -include_lib_jars lib1.jar,lib2.jar