Welcome
配置
您可以選擇最佳描述您的應用程式的設定以及所需的測試類型，來配置掃描。
視圖
登入管理
顯示 AppScan® 如何登入您的應用程式。
階段作業偵測
配置階段作業偵測，讓 AppScan 能在掃描期間驗證登入狀態。請選取「階段作業內偵測要求」，並定義階段作業內（或階段作業外）的偵測型樣。可使用進階對話框檢視已錄製的登入序列、設定階段作業內要求、選擇或定義型樣（支援正規表示式），並可透過「重新驗證」與「執行登入分析」進行驗證或疑難排解。

歡迎使用
歡迎使用 HCL AppScan Standard 版本 10.10.0 的說明文件
入門
這一節提供基本產品特性和程序的簡短瀏覽，包括使用精靈來設定掃描。
配置
您可以選擇最佳描述您的應用程式的設定以及所需的測試類型，來配置掃描。
- 預設
  「預設」提供特定掃描類型所需的主要配置視圖。
- 視圖
  - 起始 URL 和網域
    配置掃描的「起始 URL」，以及要併入的任何其他伺服器和網域。
  - API
    若要掃描 Web API，請定義您的 API 類型、探索方法，並指定要測試的網域。
  - 排除的路徑和檔案
    您可以配置 AppScan 來忽略應用程式中的特定路徑，或忽略特定類型的檔案。
  - 多步驟作業
    記錄和管理要到達應用程式特定部分所需的多步驟作業，而這些部分可能遺漏。
  - 大型語言模型 (LLM)
    配置 AppScan 來動態測試應用程式中的大型語言模型 (LLM) 功能，偵測潛在風險，例如機密資訊揭露、提示注入、資料外洩、工具濫用以及內容原則違規。鎖定會話端點、檢索增強生成 (RAG) 管道及其他 LLM 元件進行測試，接著透過 LLM 互動歷程與修正指引檢閱可重現的結果。
  - 登入管理
    顯示 AppScan® 如何登入您的應用程式。
    - 登入方法
      定義 AppScan 登入您應用程式的方式，必要的話，請記錄登入程序。AppScan 可以自動偵測登入要求，並填寫使用者名稱和密碼參數。如果應用程式的登入序列動作不標準，您可以將這些動作記錄下來，供 AppScan 使用。
    - 登入播放
      當您記錄登入序列時，AppScan 會記錄動作和要求。在重播登入時，AppScan 會嘗試（依預設）重新執行動作型登入；如果不成功，則會使用要求型登入。這個區域可用來檢閱及編輯：登入序列的動作型版本與要求型版本。
    - 階段作業偵測
      配置階段作業偵測，讓 AppScan 能在掃描期間驗證登入狀態。請選取「階段作業內偵測要求」，並定義階段作業內（或階段作業外）的偵測型樣。可使用進階對話框檢視已錄製的登入序列、設定階段作業內要求、選擇或定義型樣（支援正規表示式），並可透過「重新驗證」與「執行登入分析」進行驗證或疑難排解。
      - 進階型樣選項
        使用此對話框來比較階段作業內和階段作業外回應對於登入要求的差異，協助您決定最適合您的應用程式的偵測型樣。
      - 最佳化階段作業內偵測
        檢閱登入序列，有助於對階段作業內偵測進行疑難排解和最佳化。
    - 登入階段作業 ID
      對於記錄的登入期間所收到的變數（階段作業 ID），登入管理視圖的登入階段作業 ID 區段可用來檢閱和管理這些變數的追蹤。
    - 進階登入設定
      登入管理檢視中的進階登入設定區段用於配置進階登入設定與登出頁面偵測。
  - API 金鑰
    AppScan Standard 支援 API 鑑別以掃描需要 API 金鑰的 API。
  - 多因子鑑別 (MFA)
    配置 AppScan® 以在登入時使用一次性密碼或安全性問題（多重因素驗證）。
  - HTTP 鑑別
    視應用程式需要，新增伺服器層級的鑑別和用戶端憑證。
  - AWS 授權
    配置 AWS 設定。
  - 通訊與 Proxy
    設定通訊逾時及 Proxy 伺服器設定。
  - 參數、Cookie 和標頭
    識別階段作業 ID，並列出要從掃描中排除的參數。
  - 自動表單填入
    請將有效的參數值提供給 AppScan®，以便在掃描期間填入應用程式中的表單。
  - 錯誤頁面
    透過新增字串或正規表示式來強化應用程式的錯誤頁面識別，使 AppScan® 能夠辨識回應內容、路徑或兩者的錯誤頁面。如此可確保 AppScan 能夠有效辨識和處理錯誤頁面，從而提高安全掃描的整體準確性。
  - 探索選項
    定義 AppScan 將用來探索應用程式的探索方法（動作型、要求型或兩者），以及其他基本和進階探索設定。
  - 測試原則和最佳化
    定義將在測試期間傳送至應用程式的測試集合（測試原則），在速度對您而言比掃描深度更為重要時，在產品生命週期中偶爾套用最佳化以進行更快速的掃描。
  - 環境定義
    環境定義並非必要，不過，在掃描期間，它可讓 AppScan® 安全地免於傳送無關的測試，使掃描更快、更準確。自訂 CVSS 3.1 環境評分將會改善掃描結果的精確度。
  - 測試選項
    其他測試選項。
  - 進階配置
    此視圖可讓您存取許多進階設定，且只應由有經驗的 AppScan 使用者使用，或在支援團隊指示您時用以進行疑難排解。
  - 自訂 Script
    自訂 Script 可讓您進行更動態化的 DAST 掃描。您可以在掃描期間新增 JavaScript，以在要求送出至伺服器之前或收到回應之後操作 HTTP 要求與回應。
  - 專用權升級
    比較使用不同使用者專用權的掃描，以探索非特許使用者是否可以存取特許資源。
  - 內容型視圖
    可讓您定義應用程式樹狀結構的邏輯結構，以防 URL 型樹狀結構只是一或兩個 URL 下的長清單。這不是要點，但可讓結果更容易導覽。
- 掃描檔案結構
  說明 AppScan Standard SCAN 檔案的基本結構。
- 掃描範本
  掃描範本只是已儲存而可重複使用的掃描配置。
- 在掃描期間變更配置
智慧型發現項目分析 (IFA)
智慧型發現項目分析 (IFA) 運用人工智慧 (AI) 和機器學習 (ML) 分析資料、找出模式並進行預測，最終將資料轉換為可據以實行的洞察資訊。IFA 透過先進的方法來尋找更深入的涵義並做出明智的決策，進而超越一般資料分析。
手動探索
手動探索可讓您探索應用程式的特定部分，並且在探索時填寫欄位與表單。這個方式可以確定涵蓋網站的特定區域，且 AppScan 具有正確完成表單所需的資訊。
正在掃描
瞭解如何啟動掃描，以及掃描期間發生何種情況；如何手動操作「探索」階段，以及如何匯出掃描結果。
資料
在掃描的「探索」階段，資料視圖中會填入網站結構的相關資訊。
問題
「問題」視圖可讓您存取掃描結果。您可以檢視高階結果，也可以選取特定的測試或物件，存取更多詳細資料。這些詳細資料包括如何修正、要求/回應，以及問題產生的測試變式之間的差異。您可以操作問題的嚴重性、重新傳送測試（已修改或未修改），然後根據問題來建立報告。
報告
工具
本節說明如何使用 HCL AppScan Standard 所提供的其他工具。
整合
本節說明 AppScan Standard 與其他應用程式的整合：
最佳作法
本節包含部分適用於進階使用者的最佳實務及使用案例。
常見問題和疑難排解
CLI
本節說明透過指令行介面所能使用的語法和選項。
參照
功能表和工具列摘要，以及名詞解釋

階段作業偵測

配置階段作業偵測，讓 AppScan 能在掃描期間驗證登入狀態。請選取「階段作業內偵測要求」，並定義階段作業內（或階段作業外）的偵測型樣。可使用進階對話框檢視已錄製的登入序列、設定階段作業內要求、選擇或定義型樣（支援正規表示式），並可透過「重新驗證」與「執行登入分析」進行驗證或疑難排解。

表 1. 進階選項
設定	詳細資料
登入播放	只有在選取「已記錄的登入」作為登入方法時，才會顯示此區段
登入播放方法	當您使用內建瀏覽器進行記錄時，AppScan 會儲存您記錄的兩個登入序列版本：一個是根據您執行的動作，另一個則是根據實際傳送的 HTTP 要求。動作型：（儘可能預設使用：）AppScan 會嘗試使用動作型登入來進行登入，以重播使用者的滑鼠點按和按鍵動作。重播錄製：開啟「動作型播放程式」，並且在其瀏覽器中重播已記錄的登入序列。編輯播放：開啟動作型編輯器以檢視和編輯登入記錄的詳細資料。要求型：如果第一個方法失敗，AppScan 會使用要求型版本，也就是重送登入記錄中的原始 HTTP 要求。編輯播放：開啟要求型編輯器以檢視和編輯登入記錄的詳細資料。如果有訊息指出其中一個方法失敗，請使用另一個方法。註：如果您選取「動作型登入」，而它在掃描期間失敗，AppScan 會嘗試「要求型登入」。如果嘗試成功，這裡的設定會自動變更為「要求型」。註：動作型登入僅能在使用內建瀏覽器時使用。如果您使用外部瀏覽器或外部用戶端進行錄製，則只能使用要求型登入。
自動登入	只有在選取「自動登入」作為登入方法時，才會顯示此區段
分析自動登入配置 > 分析	按一下 AppScan 以執行下列動作：嘗試使用您提供的認證登入網站在登入頁面識別「階段作業內偵測型樣」（請參閱以下說明）配置階段作業 ID（請參閱登入階段作業 ID
階段作業偵測	在掃描期間，AppScan 必須全程都知道它在網站中是登入還是登出的狀態，如此才能正確評估網站的回應。在掃描期間，AppScan 一再傳送階段作業內偵測要求，並檢查回應是否包含「階段作業內偵測型樣」，以驗證是否仍保持登入狀態。如果 AppScan 在頁面的回應中找不到型樣，則 AppScan 會假設該型樣已遭登出，並嘗試透過重播登入序列再次登入。這意味著在掃描期間通常會播放許多次的登入序列。因此，登入序列包含的步驟愈少愈好。「階段作業內」頁面如果是小頁面且不含追蹤參數或 Cookie 也會有幫助，因為這些因素也會明顯地增加掃描時間。
階段作業內偵測要求	這是 AppScan 用來驗證仍然在階段作業內的要求。這個要求應該要根據使用者是否登入，產生不同的回應。 AppScan 會嘗試識別有效的階段作業內要求，您可以從下拉清單選取其中一個。如果找不到任何項目或沒有適當的項目，您可以使用進階要求選項按鈕，選取您自己的項目。
進階要求選項按鈕	這個按鈕會開啟一個對話框，您可以在其中檢閱登入序列中的要求，並且選取「階段作業內偵測要求」。如需詳細資料，請參閱階段作業偵測。
階段作業內偵測型樣	（只有在已選取「階段作業內偵測要求」時為作用中：）這個欄位會顯示在選取的「階段作業內偵測要求」中找到的型樣，指出使用者是在階段作業內（或者當選取該選項時使用者是在階段作業外）。下拉清單可讓您從 AppScan 已在「登入」記錄中識別的候選項，選取偵測型樣，型樣下方的綠色或紅色訊息表示目前型樣為有效或無效。註：通常最好使用階段作業內型樣。不過，在少數情況下，如果傳回階段作業內型樣時並未一律跟隨著階段作業內要求，或是定義是非常複雜時，您可以改為使用階段作業外型樣。如果 AppScan 無法識別任何有效項目，或是如果您必須選取不同項目，請使用進階型樣選項按鈕（此表格中的下一列）。正規表示式：選取此勾選框，以輸入正規表示式來識別型樣。請參閱選取「偵測型樣」對話框，以取得詳細資料。
進階型樣選項按鈕	（只有在已選取「階段作業內偵測要求」時為作用中：）這個按鈕會開啟選取偵測型樣對話框，顯示對於您所記錄之「登入」序列中要求的階段作業內和階段作業外回應的內容（根據選取的偵測型樣）。它可讓您查看在回應內容中的選取的偵測型樣，並且定義未列在組合框的偵測型樣。對話框可讓您在所有已記錄的回應之間切換。您也可以在方框的上半部查看 AppScan 傳送的階段作業內和階段作業外要求。
驗證
重新驗證	只有在目前登入序列已驗證時才為作用中。按一下以重新驗證序列和階段作業偵測型樣。
執行登入分析	只有在已記錄登入資訊，但階段作業內偵測配置遺失或不正確時才會啟用。此功能允許系統使用已記錄的登入資訊進行分析，並嘗試識別正確的配置。如果配置有效，「重新驗證」連結會照常顯示。此功能對於疑難排解尤其實用，可讓使用者調整已記錄的登入序列，並尋找階段作業內偵測的配置，無須再度記錄登入。

進階要求選項

「進階階段作業內要求選項」對話框，可從配置 > 登入管理 > 進階選項 > 階段作業偵測 > 進階要求選項中開啟。

這是具有更多選項的編輯要求型登入對話框版本。在這個對話框中，您可以：

查看您在登入時傳送的要求序列
查看「階段作業內偵測要求」
註：標示「階段作業內」的頁面必須是強調顯示的首頁。如果稍早，已強調顯示「登入」頁面，則階段作業內型樣是錯誤的，或將錯誤頁面標示為「階段作業內」。
檢視瀏覽器中序列的任何 URL。
將不同的要求設為「階段作業內要求」，並且從這個新的要求選取新的「階段作業內偵測型樣」。
刪除「階段作業內」URL 之前不必要的要求，以免 AppScan 在掃描期間多次重複這些不必要的要求
查看在「階段作業內偵測要求」之後傳送的要求，其中包含「階段作業內偵測型樣」，並且標示為「忽略」
在序列中搜尋要求
僅顯示來自特定網域的要求
開啟選取偵測型樣對話框以選取並非由 AppScan 建議的型樣

表 2. 「進階階段作業內要求選項」設定
設定	詳細資料
主要清單	顯示已記錄的登入程序的所有要求。
尋找	僅顯示在「URL」、「要求」、「回應」或「全部」中包含您輸入文字字串的要求。
顯示網域	僅顯示來自在下拉清單選取之網域的要求。按一下 AppScan 以執行下列動作：
設定為階段作業內要求按鈕	將選取的要求設定為「階段作業內要求」，會由 AppScan 在掃描期間用來驗證它是否仍處於登入狀態。您也可以藉由在清單中的要求上按一下滑鼠右鍵，來執行此動作。
進階型樣選項按鈕	開啟選取偵測型樣對話框，顯示對於您所記錄之「登入」序列中要求的階段作業內和階段作業外回應的內容（根據選取的偵測型樣）。它可讓您查看在回應內容中的選取的偵測型樣，並且定義未列在組合框的偵測型樣。對話框可讓您在所有已記錄的回應之間切換。您也可以在方框的上半部查看 AppScan 傳送的階段作業內和階段作業外要求。您也可以藉由在清單中的要求上按一下滑鼠右鍵，來執行此動作。
	顯示當記錄登入時，對於選取的要求所收到的回應。開啟的視窗具有兩個標籤：「瀏覽器」標籤顯示收到的回應，「要求/回應」標籤顯示要求和回應的原始資料。
	從登入序列刪除選取的要求。
偵測型樣	這個欄位會顯示在選取的「階段作業內偵測要求」中找到的型樣，指出使用者是在階段作業內（或者當選取該選項時使用者是在階段作業外）。下拉清單可讓您從 AppScan 已在「登入」記錄中識別的候選項，選取偵測型樣，綠色或紅色陰影表示型樣為有效或無效。註：通常最好使用階段作業內型樣。不過，在少數情況下，如果傳回階段作業內型樣時並未一律跟隨著階段作業內要求，或是定義是非常複雜時，您可以改為使用階段作業外型樣。如果 AppScan 無法識別任何有效型樣，或是如果您必須選取不同型樣，請使用進階型樣選項按鈕以選取您自己的型樣。