自动扫描如何运作

探索阶段

在第一个阶段中，AppScan 通过模拟 Web 用户单击链接和填写表单字段来探索站点（Web 应用程序或 Web Service）。这就是“探索”阶段。

AppScan 将分析它所发送的每个请求的响应，查找潜在漏洞的任何指示信息。AppScan® 接收到可能指示有安全漏洞的响应时，它将自动基于响应创建测试，并通知所需验证规则，同时考虑在确定哪些结果构成漏洞以及所涉及到安全风险的级别时所需的验证规则。

在发送所创建的特定于站点的测试之前，AppScan 将向应用程序发送若干格式不正确的请求，以确定其生成错误响应的方式。之后，此信息将用于增加 AppScan 的自动测试验证过程的精确性。

测试阶段

在第二个阶段，AppScan 将发送它在探索阶段创建的数千个定制测试请求。它使用定制验证规则记录和分析应用程序对每个测试的响应。这些规则既可识别应用程序内的安全问题，又可排列其安全风险级别。

扫描阶段

在实践中，“测试”阶段会频繁显示站点内的新链接和更多潜在安全风险。因此，完成探索和测试的第一个“过程”之后，AppScan 将自动开始第二个“过程”，以处理新的信息。如果在第二个过程中发现了新链接，那么会运行第三个过程，依此类推。

完成配置的扫描阶段数（可由用户配置；缺省情况下为四个阶段）之后，扫描将停止，并且完整的结果可供用户使用。

自动扫描流程图解

下图说明了自动扫描流程的阶段和过程。请注意，此过程不需要用户进行任何操作，但是您在 AppScan 日志中可能会遇到对操作的引用。