ワンタイム・パスワード (OTP) の設定

一部のアプリケーションでは、ログイン処理または自動探索の一部としてワンタイム・パスワード (OTP) が必要です。AppScanOTP ベースの認証をサポートしている場合は、これらのサイトのログインまたは自動探索シーケンスを記録する前に OTP を設定する必要があります。

このタスクについて

AppScan
  • TOTP (時間ベースのワンタイム・パスワード) または
    • URL 生成 OTP (OTP 値は URL 応答から検出されます)。
設定後は、ログイン中およびスキャン全体を通して正しい OTP をAppScan自動的に生成して送信します。
Limitations:
  • スキャンごとにサポートされる OTP タイプ (TOTP または URL 生成) は 1 つのみです。
  • TOTP の場合、数値のみサポートされます。
  • OTP が構成されている場合は、「ログイン再生」で選択されたログイン再生方法がアクション・ベースである必要があります。OTP は、要求ベースのログインでは機能しません。

手順

  1. Web の完全構成から多要素認証 (MFA) に移動します
  2. アプリケーションで使用する OTP 方法を選択します。
    1. TOTP（時間ベース）：認証アプリで一般的に使用されます
    2. URL 生成：一部のカスタム認証フローで使用されます
  3. 選択した OTP 方法に必要なパラメーターを入力します。
    1. TOTP を選択した場合は、以下の値を入力します。
      1. シークレット・キー
      2. OTP の長さ (桁数)
      3. ハッシュ・アルゴリズム
      4. 時間ステップ (秒): パスワードが変更される間隔。
    2. URL 生成 OTP を選択した場合は、以下の値を入力します。
      1. URL: OTP 値が検出される URL。
      2. 正規表現: 正しい値を抽出するために使用する特定の正規表現を入力し、[検証] をクリックします。
  4. 必要に応じて HTTP パラメーターを確認または追加します。

    記録したログインのログイン分析中に、AppScanこれがこのパラメーターを検出し、OTP HTTP パラメーター・リストおよび自動フォーム入力ビューの OTP エントリーに追加します。自動ログインを使用している場合、またはこのパラメーターがログイン・プロセスの一部でない場合は、手動で構成する必要があります。

  5. 「適用」をクリックします。

OTP HTTP パラメーターの識別方法

このタスクについて

AppScanアプリケーションへのログインを成功させるには、OTP（ワンタイム・パスワード）パラメーターを識別する必要があります。AppScan通常、ログイン手順の検証時にこのパラメーターを自動的に検出します。ただし、自動検出に失敗した場合、自動ログインを使用している場合、または検出されたパラメーターがログイン・プロセスに関連しない場合は、OTP パラメーターを手動で構成する必要があります。正しい OTP パラメーターがないと、AppScanセキュリティー・スキャン中にログイン・プロセスを完了できず、アプリケーションの適切な分析が妨げられます。

手順

  1. ブラウザーを開き、アプリケーションのログイン・ページに移動します。
  2. F12 キーを押して、ブラウザーの開発者ツール・ペインを開きます (メイン・ブラウザー・ペインの右側または下に開きます)。
  3. 「エレメント」タブをクリックして、HTML コードを表示します。コードの一部を選択すると、メイン・ブラウザー・ペインでエレメントが強調表示されます。
  4. OTP フィールドを強調表示するエレメントを見つけます。
    例:
    <input type="text" name="OTPvalue" value="">
  5. name パラメーターの値 (引用符なし) が、必要な OTP HTTP パラメーターです。
    例:
    OTPvalue
  6. 複数の OTP HTTP パラメーターがある場合は、「別の追加」をクリックして、必要に応じてフィールドを追加します。

ログインを記録し、OTP を検証して、スキャンを実行します

手順

  1. ログイン手順を記録します:
    1. 「ログイン管理」に移動し、「ログイン・シーケンスの記録」 > 「AppScan ブラウザー」をクリックします。
    2. ユーザー名とパスワードを入力します。
    3. OTP の入力を求められたら、AppScan が提供する値を使用します。
    4. 「ログイン」をクリックします。
    5. 正常にログインしたら、「ログインの分析」をクリックします。「Login sequence recorded」という確認メッセージが表示されます。
  2. OTP 統合を検証します:
    1. OTP ビューに戻ります。
    2. OTP HTTP パラメーターが自動的に追加されていることを確認します。
    3. 「自動フォーム入力」を開き、そのパラメーターがそこにも一覧表示されていることを確認します。
    4. 「検証」をクリックして AppScan がログインを再生し、OTP が正しく送信されることを確認します。
  3. スキャンを開始します:
    1. ログインと OTP の設定が検証されたら、次の操作ができます:
      1. フル・スキャンを開始する、または
      2. クロールの動作を確認するために「探索のみ」を実行する
    2. AppScanスキャン全体を通じて、認証時に OTP を自動的に生成して送信します。

    OTP の設定を行い、ログイン・シーケンスを記録することで、AppScanワンタイムパスワードを必要とするアプリケーションに正常に認証できます。これにより、多要素認証で保護されたサイトのスキャンを完全にカバーできます。