ワークフローの説明
AppScan では、ご使用の Web アプリケーションに関する総合的な評価が提供されます。また、無許可アクセスやコード・インジェクションだけでなく、標準的なユーザー手法のすべてのレベルに基づく、何千というテストも実行されます。
ご使用のアプリケーションに対してスキャンを実行すると、AppScan によって各種テストがご使用の Web アプリケーションに送信されます。テストの結果は、AppScan のサイトを認識するスマート・エンジンによって作成され、強化されたレビューと操作で使用できる拡張性のあるレポートおよび推奨される修正も提供されます。
AppScan は対話式ツールです。このツールを使用して、スキャンの構成および結果に対する対応を決定します。
AppScan でのワークフローには、以下のステージが含まれています。
- テンプレートの選択: 定義済みのスキャン構成が、スキャン・テンプレート です。「標準的なスキャン」テンプレート、別の定義済みのテンプレート、あるいは以前に保存したテンプレートをロードすることができます。(構成は、後で必要に応じて現在のスキャンに合わせて調整できます。)
- アプリケーションまたは API スキャン: Web API スキャンでは、ユーザーがいくつか手動入力をして AppScan にサービスの使用方法を示す必要があります。
- AppScan: Web API をスキャンしない場合、またはアプリケーションの API 以外の部分をスキャンする場合は、このデフォルトのオプションを選択したままにします。
- 外部デバイスまたはクライアント: サービスをスキャンする場合は、このオプションを選択します。AppScan を記録プロキシーとして構成し、AppScan を介して外部クライアントから要求を送信します。
- スキャン構成: サイトの詳細、ご使用の環境、および他の要件を考慮に入れて、スキャンを構成します。
- (オプション) マニュアル探査: ユーザーが行うように、サイトにログインし、リンクをクリックし、フォームに入力します。これは、一般的なユーザーがサイトをブラウズする方法を AppScan に「示す」ための良い方法です。これにより、サイトの重要な部分が確実にスキャンされ、フォームに入力するた めのデータが提供されます。
- アプリケーションまたは API のスキャン: これは、探査ステージとテスト・ステージから構成されるメイン・スキャンです。
探査ステージ: AppScan がサイトをクロールし、通常のユーザーがアクセスするようにしてリンクにアクセスし、応答を記録します。また、ご使用のアプリケーションで検出された URL、ディレクトリー、ファイルなどの階層も作成されます。このリストは、アプリケーション・ツリー (アプリケーション・ツリーを参照) に、表示されます。
探査ステージは、自動または手動、あるいはこの両方を組み合わせて実行できます。探査データ・ファイルをインポートすることもできます (マニュアル探査データをエクスポートする を参照)。このファイルは以前記録されたマニュアル探査シーケンスで構成されています。AppScan はサイトから収集したデータを分析し、その分析に基づいてサイト用のテストを作成します。これらのテストは、インフラストラクチャーの弱点 (市販のサード・パーティー製品またはインターネット・システムでのセキュリティー上の弱点など) とアプリケーション自体の弱点の両方を明らかにするために設計されています。
テスト・ステージ: テスト・ステージ中に、AppScan は、脆弱性を明らかにし、その重大度を評価するために、探査ステージ中に受信した応答に基づいてアプリケーションをテストします。
ご使用の AppScan の現行バージョンに組み込まれたすべてのテストの最新のリストは、「スキャン構成」ダイアログ・ボックスで確認することができます (テスト・ポリシーと最適化を参照)。
AppScan で自動的に作成および実行されるテストのほかに、ユーザー定義テストを作成することもできます (ユーザー定義テストを参照)。作成したテストにより、AppScan によって生成されたテストを補完することができ、検出された結果を検査することもできます。
テスト結果は「結果リスト」に表示され、そこでテスト結果を表示および変更できます。結果の完全な詳細は、 「詳細ペイン」内に表示されます。
- 結果の確認 サイトのセキュリティー状態を評価します。また、以下のことが必要な場合があります。
- その他のリンクの手動での探査
- 修復タスクの確認
- レポートを印刷する
- (必要な場合) 結果の検討に基づくスキャン構成の調整とスキャンの再実行