測試原則和最佳化

定義將在測試期間傳送至應用程式的測試集合（測試原則），以及在速度對您而言比掃描深度更為重要時，在產品生命週期中，有時會套用最佳化以進行更快速的掃描。

測試原則

網站所可能有的 AppScan 測試數目可以達到數千個。您可以設定想要在應用程式上執行之測試類型的「原則」，而不需要手動過濾大量的測試和測試變式。

「測試原則」欄位會顯示掃描的現行原則。

  • 按一下下拉式清單或瀏覽，以選取不同的原則。
  • 按一下管理測試原則以檢視所選原則的詳細資料、進行編輯，或建立您專屬的使用者定義測試原則。
提示：
  • 如果您將測試最佳化套用至配置，則可能無法測試所選取原則中的部分漏洞。因此，如果您已選取「完整」「測試原則」，且想要傳送其所有 測試，則應該將最佳化設定為不進行最佳化。
  • 雖然您可以在測試原則頁面啟用特定測試，但請注意，掃描期間實際送出的測試可能會受到環境定義頁面中的環境設定影響。若某些測試依據您的環境規格（例如 Windows 與 Linux）而被停用或降至最低，即使在此處已啟用這些測試，也不會將其送出。
  • 漏洞元件嚴重性：- 在測試原則 GUI 中，「漏洞元件」問題類型具有可設定的一般嚴重性層級。- 當 AppScan 發現特定漏洞元件時，會依據 CVSS 分數及對應的 CVE 詳細資料，針對每個 CVE 指派嚴重性等級。- 因此，個別發現項目所顯示的嚴重性可能與原則的一般設定不同。例如，原則可能設定為高，但某個特定發現項目則回報為中。

欄位/窗格/選項

詳細資料

測試原則

顯示現行「測試原則」的名稱。按一下下拉式清單或瀏覽，以選取不同的原則。

變更測試原則

按一下以檢視所選原則的詳細資料、進行編輯，或建立您專屬的使用者定義測試原則。請參閱編輯測試原則。

測試最佳化

「測試最佳化」會使用 AppScan 的智慧型測試過濾，以在需要速度時實現更快的掃描，並將問題涵蓋範圍的損失降至最低。您可以在四種最佳化層次之間進行選擇，取決於您的需求。

完整一般 AppScan Standard 掃描通常會傳送數千個測試並且耗費數小時，有些情況下甚至要數天才能完成。在早期開發階段期間，或是針對您的產品目前的安全性狀態進行快速整體評估時，您可以使用「測試最佳化」，以在較短的時間範圍內取得您需要的結果，方法是在速度與問題涵蓋面之間選擇平衡。有三種層次的最佳化，而且下表顯示一些針對每一種層次建議的使用案例。

我們的智慧型測試過濾器基於統計分析，並過濾掉特定測試（甚至是特定測試變式）以產生簡短掃描，僅識別更為常見、嚴重或者重要的漏洞。AppScan 修正套件與 iFix 可讓您隨時保持最新的最佳化篩選器。使用「測試最佳化」，在比起徹底、深度掃描，更需要快速結果時，可大幅減少整體掃描時間。

「測試最佳化」會套用至您針對掃描選取的任何「測試原則」，因此並不會傳送原則中的所有測試。請注意，最佳化設定不會對「探索」階段產生任何差異，它是可以大幅縮短的（更長）「測試」階段。

設定 漏洞涵蓋範圍* 測試階段速度 建議使用
不最佳化 最大值 完整長度掃描（如同配置） 對於安全專家，指的是主要版本釋出、相符性測試及基準性能測試之前，此時更長的掃描將不會中斷您的開發工作流程。啟用這項設定後，系統會測試所選取「測試原則」中的所有問題。
快速（預設） ~97% 高達兩倍快速 對於安全專家，進行更頻繁的掃描。
較快 ~85% 高達五倍快速 對於 DevSecOps，在持續評估期間。
最快 ~70% 速度高達十倍 對於 Dev 及 QA，在初始評估期間。
* 與對等的非最佳化掃描進行比較，並套用至實際漏洞，而不是參考用問題。
重要：
上方表格中顯示的值是根據某些一般應用程式進行預估，但是實際減少的掃描時間和問題涵蓋範圍，都會依據您的特定應用程式而有所不同。
提示：
如果套用最佳化，則所選取測試原則中的部分漏洞可能無法進行測試。因此，如果您是使用「完整」的「測試原則」，且想要傳送其所有測試，則應該選取不進行最佳化來停用「測試最佳化」。

另請參閱： 瞭解測試最佳化