Welcome
配置
您可以選擇最佳描述您的應用程式的設定以及所需的測試類型，來配置掃描。
視圖
多因子鑑別 (MFA)
您可以設定 AppScan 以處理登入或自動探索期間所需的多重要素驗證 (MFA) 方法，包括一次性密碼 (OTP)、安全性問題和 CAPTCHA 驗證。

歡迎使用
歡迎使用 HCL AppScan Standard 版本 10.12.0 的說明文件
入門
這一節提供基本產品特性和程序的簡短瀏覽，包括使用精靈來設定掃描。
配置
您可以選擇最佳描述您的應用程式的設定以及所需的測試類型，來配置掃描。
- 預設
  「預設」提供特定掃描類型所需的主要配置視圖。
- 視圖
  - 起始 URL 和網域
    配置掃描的「起始 URL」，以及要併入的任何其他伺服器和網域。
  - API
    若要掃描 Web API，請定義您的 API 類型、探索方法，並指定要測試的網域。
  - 排除的路徑和檔案
    您可以配置 AppScan 來忽略應用程式中的特定路徑，或忽略特定類型的檔案。
  - 多步驟作業
    記錄和管理要到達應用程式特定部分所需的多步驟作業，而這些部分可能遺漏。
  - 大型語言模型 (LLM)
    配置 AppScan 來動態測試應用程式中的大型語言模型 (LLM) 功能，偵測潛在風險，例如機密資訊揭露、提示注入、資料外洩、工具濫用以及內容原則違規。鎖定會話端點、檢索增強生成 (RAG) 管道及其他 LLM 元件進行測試，接著透過 LLM 互動歷程與修正指引檢閱可重現的結果。
  - 登入管理
    向 AppScan® 展示如何登入您的應用程式。
  - API 金鑰
    AppScan Standard 支援 API 鑑別以掃描需要 API 金鑰的 API。
  - 多因子鑑別 (MFA)
    您可以設定 AppScan 以處理登入或自動探索期間所需的多重要素驗證 (MFA) 方法，包括一次性密碼 (OTP)、安全性問題和 CAPTCHA 驗證。
    - 一次性密碼 (OTP)
      某些應用程式在其登入流程或自動探索過程中需要一次性密碼 (OTP)。AppScan 支援基於 OTP 的驗證，您需要在為這些網站錄製登入或自動探索序列之前設定 OTP。
    - CAPTCHA
      基於 CAPTCHA 的登入增加了額外的安全層，以防止自動化機器人存取，但它們也為必須在掃描前進行驗證的 DAST 工具增加了複雜性。當登入流程包含基於圖片或文字的 CAPTCHA，或 reCAPTCHA 挑戰時，AppScan提供了在掃描期間可靠地記錄和重播這些流程的機制。
    - 安全問題
      「安全問題」是應用程式和網站用來為使用者帳戶增添額外安全層的常見方法。這些問題通常屬於個人，需要使用者提供只有他們自己知道的特定答案。此額外步驟有助於驗證使用者身分，特別是在密碼復原或存取機密資訊時。
  - HTTP 鑑別
    視應用程式需要，新增伺服器層級的鑑別和用戶端憑證。
  - AWS 授權
    配置 AWS 設定。
  - 通訊與 Proxy
    設定通訊逾時及 Proxy 伺服器設定。
  - 參數、Cookie 和標頭
    識別階段作業 ID，並列出要從掃描中排除的參數。
  - 自動表單填入
    請將有效的參數值提供給 AppScan®，以便在掃描期間填入應用程式中的表單。
  - 錯誤頁面
    透過新增字串或正規表示式來強化應用程式的錯誤頁面識別，使 AppScan® 能夠辨識回應內容、路徑或兩者的錯誤頁面。如此可確保 AppScan 能夠有效辨識和處理錯誤頁面，從而提高安全掃描的整體準確性。
  - 探索選項
    定義 AppScan 將用來探索應用程式的探索方法（動作型、要求型或兩者），以及其他基本和進階探索設定。
  - 測試原則和最佳化
    定義將在測試期間傳送至應用程式的測試集合（測試原則），以及在速度對您而言比掃描深度更為重要時，在產品生命週期中，有時會套用最佳化以進行更快速的掃描。
  - 環境定義
    環境定義並非必要，不過，在掃描期間，它可讓 AppScan® 安全地免於傳送無關的測試，使掃描更快、更準確。自訂 CVSS 3.1 環境評分將會改善掃描結果的精確度。
  - 測試選項
    其他測試選項。
  - 進階配置
    此視圖可讓您存取許多進階設定，且只應由有經驗的 AppScan 使用者使用，或在支援團隊指示您時用以進行疑難排解。
  - 自訂 Script
    自訂 Script 可讓您進行更動態化的 DAST 掃描。您可以在掃描期間新增 JavaScript，以在要求送出至伺服器之前或收到回應之後操作 HTTP 要求與回應。
  - 中斷存取控制
    比較以不同使用者專用權執行之工作階段的掃描結果，以判斷僅限專用權使用者存取的資源是否可被非專用權使用者存取。這可識別中斷存取控制，特別是專用權升級的情況，即低專用權使用者取得受保護資料或功能的存取權限。
  - 內容型視圖
    可讓您定義應用程式樹狀結構的邏輯結構，以防 URL 型樹狀結構只是一或兩個 URL 下的長清單。這不是要點，但可讓結果更容易導覽。
- 掃描檔案結構
  說明 AppScan Standard SCAN 檔案的基本結構。
- 掃描範本
  掃描範本只是已儲存而可重複使用的掃描配置。
- 在掃描期間變更配置
智慧型發現項目分析 (IFA)
智慧型發現項目分析 (IFA) 運用人工智慧 (AI) 和機器學習 (ML) 分析資料、找出模式並進行預測，最終將資料轉換為可據以實行的洞察資訊。IFA 透過先進的方法來尋找更深入的涵義並做出明智的決策，進而超越一般資料分析。
手動探索
手動探索可讓您探索應用程式的特定部分，並且在探索時填寫欄位與表單。這個方式可以確定涵蓋網站的特定區域，且 AppScan 具有正確完成表單所需的資訊。
正在掃描
瞭解如何啟動掃描，以及掃描期間發生何種情況；如何手動操作「探索」階段，以及如何匯出掃描結果。
資料
在掃描的「探索」階段，資料視圖中會填入網站結構的相關資訊。
問題
「問題」視圖可讓您存取掃描結果。您可以檢視高階結果，也可以選取特定的測試或物件，存取更多詳細資料。這些詳細資料包括如何修正、要求/回應，以及問題產生的測試變式之間的差異。您可以操作問題的嚴重性、重新傳送測試（已修改或未修改），然後根據問題來建立報告。
報告
工具
本節說明如何使用 HCL AppScan Standard 所提供的其他工具。
整合
本節說明 AppScan Standard 與其他應用程式的整合：
最佳作法
本節包含部分適用於進階使用者的最佳實務及使用案例。
常見問題和疑難排解
CLI
本節說明透過指令行介面所能使用的語法和選項。
參照
功能表和工具列摘要，以及名詞解釋

多因子鑑別 (MFA)

您可以設定 AppScan 以處理登入或自動探索期間所需的多重要素驗證 (MFA) 方法，包括一次性密碼 (OTP)、安全性問題和 CAPTCHA 驗證。

多重要素驗證 (MFA) 頁面

多重要素驗證頁面

支援的 MFA 類型

OTP（一次性密碼）: 透過 URL 或 TOTP 傳送的一次性密碼。在錄製之前設定 OTP。如需完整的設定和參數識別，請參閱多重要素驗證 (OTP)。
安全問題: 在登入或復原流程中使用的預先定義挑戰問題和答案。在 OTP 主題的「安全性問題」區段中新增確切的問題和答案配對。如需相關資訊，請參閱設定安全性問題。
CAPTCHA V1: 圖片和文字輸入 CAPTCHA。AppScan 使用 AI 代理程式來偵測和解決 V1 CAPTCHA。需要進行 AI 提供者配置。如需相關資訊，請參閱CAPTCHA 驗證。
CAPTCHA V2: reCAPTCHA V2（挑戰式）。繞過需要在 Google Cloud 中將 AppScan 公用 IP 加入允許清單。如需相關資訊，請參閱CAPTCHA 驗證。
CAPTCHA V3: reCAPTCHA V3（基於行為）。支援自動和錄製方法；繞過也需要在適用的情況下進行 Google Cloud 允許清單設定。如需相關資訊，請參閱CAPTCHA 驗證。