「スキャン構成」ビュー

このセクションでは、スキャン構成に名前を付けて、そのスキャン構成に関する説明を入力できます。

このセクションでは、スキャン構成を使用すると必ずスキャンに適用されるフィルターを 1 つ以上選択できます。フィルターを選択するときは、AppScan Source 事前定義フィルターまたは共有フィルター、あるいは自分で作成したフィルターを選択できます。詳しくは、スキャン構成を参照してください。

汚染フロー分析を有効化して、スコープを設定します。

このセクションを使用して、スキャンに適用するソース・ルールを決定します。

ソースはプログラムへの入力で、ファイル、サーブレット要求、コンソール入力、ソケットなどがあります。一部のソース・ルールを除外することで、スキャンを高速化し、関心のない入力を起因とする脆弱性が検出されることを回避できます。

ルールには、そのルールが特定の脆弱性、メカニズム、属性、またはテクノロジーに関連するものであることを示すルール・プロパティーでタグが付けられます。これらのプロパティーはルール・セットにグループ化されます。ルール・セットは、関連する複数のルールの共通セットに対応します。スキャンに含めるソース・ルールを制限するには、ルール・セットまたは個別のルール・プロパティーを指定します。

• 以下の脆弱性タイプ (ルール・セット内でタイプ別に編成) を 1 つ以上スキャンに含めます。
  • すべて (Everything): このオプションを選択すると、サポートされているすべての入力ソースを起因とする脆弱性が検出されます。
  • ユーザーの入力: このオプションを選択すると、エンド・ユーザーの入力を起因とする脆弱性が検出されます。
  • Web アプリケーション: このオプションを選択すると、Web アプリケーションのリスクを起因とする脆弱性が検出されます。
  • エラー処理およびロギング (Error Handling and Logging): このオプションを選択すると、エラー処理およびロギング・メカニズムを起因とする脆弱性が検出されます。
  • 環境: このオプションを選択すると、構成ファイル、システム環境ファイル、およびプロパティー・ファイルを起因とする脆弱性が検出されます。
  • 外部システム: このオプションを選択すると、外部エンティティーを起因とする脆弱性が検出されます。
  • データ・ストア: このオプションを選択すると、データ・ストア (データベースやキャッシングなど) を起因とする脆弱性が検出されます。
  • 異常な項目: このオプションを選択すると、本番アプリケーションには通常含まれていないルーチンを起因とする脆弱性が検出されます。
  • ファイル・システム: このオプションを選択すると、ファイル・システムを起因とする脆弱性が検出されます。
  • 機密データ: このオプションを選択すると、機密データを起因とする脆弱性が検出されます。

  吹き出しテキストが、このセクションの各ルール・セットについて説明します。

• 個別のスキャン・ルール・プロパティーを選択してスキャンに含めます。「選択済みのルール・セットを破棄して個別のルール・プロパティーを選択する (Discard selected rule sets and let me select individual rule properties)」をクリックします。これにより、「ルール・プロパティーの選択」ダイアログ・ボックスが開き、個々のルール・プロパティーを選択できるようになります。このダイアログ・ボックスでの作業が完了すると、選択されていたルール・セットがすべて破棄されます。選択されたルール・プロパティーを持つスキャン・ルールがスキャンに使用されます。

このセクションは、上級ユーザーのみを対象としています。このセクションには、スキャン結果を向上させるための、さまざまな設定が含まれています。吹き出しテキストは、このセクションの各設定について記述しています。

このセクションを使用して、スキャン構成の使用時にパターン・ベースのスキャンを有効化します。パターン・ベースのスキャンは、カスタマイズされた検索基準に基づいてソース・コードの分析を行う機能です。

このセクションを使用して、パターン分析の際に使用するルールとルール・セットを追加します。詳しくは、パターン・ベースのルールによるカスタマイズおよびスキャン構成を参照してください。