ホーム
プロダクト機能の拡張
特定の開発要件を満たすために製品を拡張する方法について説明します。
脆弱性データベースとパターン・ルールのカスタマイズ
このセクションでは、脆弱性データベースをカスタマイズし、カスタマイズした脆弱性やその他のルーチンをスキャンに組み込む方法について説明します。
AppScan® Source Security Knowledgebase の拡張
このセクションでは、脆弱性データベースをカスタマイズし、カスタマイズした脆弱性やその他のルーチンをスキャンに組み込む方法について説明します。カスタム・ルールを使用して、AppScan® Source Security Knowledgebase (脆弱性データベース) を自社独自のセキュリティー標準に合わせて調整し、これらの標準を社内全体で一貫して適用することができます。
カスタム・ルールの作成
「カスタム・ルール」ビューでは、カスタム・ルール・ウィザードを開くことができます。これは、カスタム・データベース・レコードの作成をガイドするツールです。カスタム・ルールを作成すると、作成したルールは「カスタム・ルール」ビューに表示されます。表にはシグニチャー、言語、および目的が表示されます。

ようこそ
HCL® AppScan® Source の文書へようこそ。
新機能
以下の、AppScan® Source に追加された新機能と、このリリースで非推奨になった機能についての注意について説明します。
インストール
HCL® AppScan® Source のインストール、アップグレード、およびアクティブ化の方法について説明します。
構成
HCL® AppScan® Source でアプリケーション、フォルダー、プロジェクトを構成し、属性とプロパティーを設定する方法について説明します。
の管理
HCL® AppScan® Source での、ユーザー・アカウントと許可の管理、ユーザー・アクティビティーの監査、および統合の管理の方法について説明します。
スキャン
このセクションでは、HCL® AppScan® Source でのソース・コードのスキャン方法および評価の管理方法について説明します。
トリアージおよび分析
類似した検出結果をグループ化することにより、セキュリティー・アナリストや IT 監査員はソース・コードの問題をセグメント化し、トリアージできます。このセクションでは、AppScan® Source 評価のトリアージを行い、結果を分析する方法について説明します。
レポート作成
セキュリティー・アナリストおよびリスク・マネージャーは、選択された検出結果のレポート、またはソフトウェア・セキュリティーのベスト・プラクティスおよび法的要件へのコンプライアンスを測定するための一連の監査レポートにアクセスできます。このセクションでは、集約された検出結果データのレポートを作成する方法について説明します。
プロダクト機能の拡張
特定の開発要件を満たすために製品を拡張する方法について説明します。
- 脆弱性データベースとパターン・ルールのカスタマイズ
  このセクションでは、脆弱性データベースをカスタマイズし、カスタマイズした脆弱性やその他のルーチンをスキャンに組み込む方法について説明します。
  - AppScan® Source Security Knowledgebase の拡張
    このセクションでは、脆弱性データベースをカスタマイズし、カスタマイズした脆弱性やその他のルーチンをスキャンに組み込む方法について説明します。カスタム・ルールを使用して、AppScan® Source Security Knowledgebase (脆弱性データベース) を自社独自のセキュリティー標準に合わせて調整し、これらの標準を社内全体で一貫して適用することができます。
    - カスタム・ルールの作成
      「カスタム・ルール」ビューでは、カスタム・ルール・ウィザードを開くことができます。これは、カスタム・データベース・レコードの作成をガイドするツールです。カスタム・ルールを作成すると、作成したルールは「カスタム・ルール」ビューに表示されます。表にはシグニチャー、言語、および目的が表示されます。
    - カスタム・ルール・ウィザードの使用
      カスタム・ルール・ウィザードは、メソッドを AppScan® Source Security Knowledgebase に追加するときに便利です。多くのカスタム・ルールの有効範囲はグローバル (すべてのプロジェクトに対して適用) です。カスタムのトレースなしの検出結果、ソース、シンク、汚染伝播元は常にグローバルです。カスタムの検証/エンコード・ルーチンはグローバルではありません。
    - Likelihood ルール属性
      Attribute.Likelihood.High 属性と Attribute.Likelihood.Low 属性は、標準装備のルールの一部で、カスタム・ルールの作成に使用できます。
    - 「カスタム・ルール」ビュー
      「カスタム・ルール」ビューでは、カスタム・ルール・ウィザードを使用してカスタム・ルールを作成します。既存のルールを追加、表示、または削除します。
  - AppScan® Source trace による入出力トレースのカスタマイズ
    一部のアプリケーション (特に Web アプリケーション) では、SQL 注入、コマンド注入、クロスサイト・スクリプティングに関連するセキュリティーの脆弱性を識別するために、入出力トレースが必要になります。AppScan® Source トレースにより、検証ルーチンを指定することができます。この検証ルーチンを使用すると、脆弱性レポートを作成する必要がなくなります。入力が検証されなかった場合は、他のすべての出力が脆弱性としてマークされます。
  - パターン・ベースのルールによるカスタマイズ
    AppScan® Source のパターン・ベースのスキャンは、カスタマイズされた検索基準に基づいてソース・コードの分析を行う機能です。パターン・ベースのスキャンは、grep と似ています (grep では、1 つ以上のファイルに対して指定された文字列やパターンを検索します)。トリアージを行う監査員またはセキュリティー・アナリストは、パターン・ベースのスキャンを使用して、特定のアプリケーションまたはプロジェクトから特定のパターンを検索する場合があります。パターンを脆弱性タイプとして定義しておくと、ソース・コードのスキャンで、そのパターンを脆弱性として識別します。一致項目が AppScan Source によって検出されると、その項目が検出結果表に表示されます。すぐに使用できる AppScan Source ルール・ライブラリーに、定義済みのルールとルール・セット (ルールの集合) が格納されています。
- アプリケーション・サーバーのインポート・フレームワークの拡張
  AppScan® Source では、Apache Tomcat および WebSphere® Application Server Liberty プロファイルから Java™ アプリケーションをインポートできます。このトピックで説明するように、アプリケーション・サーバーのインポート・フレームワークを拡張することにより、他のアプリケーションから Java アプリケーションをインポートできます。
- HCL®AppScan® Source for Development (Eclipse Plug-in)
  AppScan® Source for Development を使用すると、既存の開発環境で作業を行いながら、Java および IBM® MobileFirst Platform プロジェクトのセキュリティーの脆弱性を分析できます。セキュリティー分析は、ソース・コードの脆弱性を特定し、AppScan Source Security Knowledgebaseの修復支援機能を使用して脆弱性を完全に解消するのに役立ちます。
参照
HCL® AppScan® Source の参照情報 (ユーティリティー、プラグイン、および API の使用を含む) を確認します。
トラブルシューティングおよびサポート
HCL® AppScan® Source の使用中に発生する問題のトラブルシューティングに役立つ、セルフ・ヘルプ情報、リソース、およびツール。

カスタム・ルールの作成

「カスタム・ルール」ビューでは、カスタム・ルール・ウィザードを開くことができます。これは、カスタム・データベース・レコードの作成をガイドするツールです。カスタム・ルールを作成すると、作成したルールは「カスタム・ルール」ビューに表示されます。表にはシグニチャー、言語、および目的が表示されます。

プロジェクト固有の検証ルーチンとエンコード・ルーチンが「カスタム・ルール」ビューに表示されるのは、「エクスプローラー」ビューの「すべてのアプリケーション」の下のアプリケーション内に、ルールが適用されるプロジェクトが存在する場合のみです。

シグニチャー: シグニチャーは、完全修飾関数名です。例えば、 Java™ シグニチャーには、 com.test.vulnerable.VulnClass.vulnerable(java.lang.string;int):int.のように、引数タイプとリターン・タイプが含まれています。
言語: C/C++、 Java™、Visual Basic、Classic ASP、または .NET
目的:Validation.EncodingRequired ルーチンなどの特定のメソッド、シンク、またはソース上のカスタム・レコード・タイプ。

ヒント: 繰り返しスキャンしてカスタム・ルールを追加してから、ソース・コードを変更せずにスキャンをやり直すことにより、コード・ベースの評価を精緻化する場合は、脆弱性分析キャッシュを使用するようにプロジェクト・プロパティーを設定することにより、スキャン時間を大幅に短縮することができます。これを行うには、プロジェクト・プロパティーで、「脆弱性分析キャッシュを有効にする」チェック・ボックスを選択します。プロジェクト・プロパティーの設定方法については、選択したプロジェクトの「概要」タブの使用方法に関する説明を参照してください。