ようこそ
HCL AppScan Standard バージョン 10.4.0 のドキュメントへようこそ。
はじめに
このセクションでは、ウィザードを使用したスキャンのセットアップを含む、基本的な製品の機能および手順について簡単に紹介します。
構成
ご使用のアプリケーションと希望するテストの種類に最も当てはまる設定を選択して、スキャンを構成します。
- プリセット
  プリセットでは、特定のタイプのスキャンに必要なメイン構成ビューが提供されます。
- 表示
  - 開始 URL とドメイン
    スキャンの開始 URL、および含める必要のある追加のサーバーとドメインを構成します。
  - API
    Web API をスキャンするには、API タイプ (カスタム・パラメーターがより適切に構成され、範囲が改善されます)、探査方法、およびテストされるドメインを定義します。
  - 除外するパスおよびファイル
    アプリケーションの特定のパスや、特定タイプのファイルを無視するように AppScan を構成することができます。
  - マルチステップ操作
    その他の方法では到達できない可能性があるアプリケーションの特定の部分に到達するために必要なマルチステップ操作を記録および管理します。
  - ログイン管理
    AppScan® にアプリケーションへのログイン方法を示します。
  - 多要素認証 (MFA)
    ワンタイム・パスワードまたはセキュリティーの質問 (多要素認証) を使用するように、AppScan® を構成します。
  - HTTP 認証
    サーバー側の認証およびクライアント側の証明書の追加 (アプリケーションで必要とされる場合)
  - AWS 認証
    AWS 設定を構成します。
  - 通信およびプロキシー
    通信タイムアウトおよびプロキシー・サーバー設定の構成
  - パラメーター、Cookie、およびヘッダー
    スキャンから除外するセッション ID およびリスト・パラメーターを識別します。
    - パラメーター定義
      スキャン中にテスト対象から除外するパラメーター、Cookie、およびヘッダーを定義できます。
    - パラメーター名
    - セッション ID
    - 冗長性調整
      冗長性調整を慎重に行うことで、スキャン時間を大幅に短縮できます。
    - 「カスタム・パラメーター」タブ
      「構成」ダイアログ・ボックスの「パラメーターおよび Cookie」ビューの「カスタム・パラメーター」タブです。
    - 「カスタム・ヘッダー」タブ
      「構成」ダイアログ・ボックスの「パラメーターおよび Cookie」ビューの「カスタム・ヘッダー」タブ。
  - フォームの自動入力
    スキャン中にアプリケーションにフォームを入力するために有効なパラメーター値を AppScan® へ指定します。
  - エラー・ページ
    ストリング、正規表現、URL を追加して、アプリケーションのカスタム・エラー・ページを識別します。
  - 探査オプション
    AppScan がアプリケーションの探査に使用する探査方法 (アクション・ベース、要求ベース、またはその両方) と、その他の基本的な探査設定と詳細な探査設定を定義します。
  - テスト・ポリシーと最適化
    テスト中にアプリケーションに送信されるテストのコレクションを定義します (テスト・ポリシー)。また、詳細なスキャンよりも迅速なスキャンを優先する場合に、製品のライフサイクルでスキャンを高速化するための最適化を適用します。
  - 環境定義
    環境定義は必須ではありませんが、AppScan® でスキャン中に関連性のないテストを送信することを安全に抑制できるようになります。その結果、スキャンをさらに高速かつ正確に実施できます。CVSS 3.1 環境スコアをカスタマイズすると、スキャン結果の精度が向上します。
  - テスト・オプション
    追加のテスト・オプション。
  - 特権エスカレーション
    異なるユーザー権限を使用したスキャンを比較して、特権リソースに非特権ユーザーがアクセスできるかどうかを確認します。
  - コンテンツ・ベースのビュー
    URL ベースのツリーが、単に 1 つまたは 2 つの URL の下の長いリストになる場合に、アプリケーション・ツリーの論理構造を定義できます。これは必須ではありませんが、結果に移動しやすくなります。
  - 拡張構成
    このビューを使用すると、多くの詳細なレジストリー設定にアクセスできます。このビューは、経験のある AppScan ユーザーのみ、または問題をトラブルシューティングするためにサポート・チームから指示された場合にのみ使用してください。
- Postman コレクションを使用したスキャン
  Web API への要求の Postman コレクションがある場合は、それをインポートして、スキャンの基礎として使用できます。
- SCAN ファイルの構造
  AppScan Standard SCAN ファイルの基本的な構造について説明します。
- スキャン・テンプレート
  スキャン・テンプレートとは、再使用できるように保存された単なるスキャン構成です。
- スキャン中の構成の変更
マニュアル探査
マニュアル探査を使用すると、実行中にフィールドおよびフォームを入力しながらアプリケーションの特定の部分を探査することができます。この方法を使用することで、サイトの特定のエリアが確実にカバーされ、AppScan では、すべてのフォームへの正しい入力に必要な情報を得ることができます。
スキャン
スキャンの開始方法、スキャン中に何が行われるか、探査ステージの手動による操作方法、スキャン結果のエクスポート方法について説明します。
Data (データ)
データ・ビューには、スキャンの探査のステージ中にサイトの構造に関する情報が取り込まれます。
問題
「問題」ビューでは、スキャンの結果にアクセスできます。結果を概略レベルで表示することも、特定のテストまたはオブジェクトを選択して詳細にアクセスすることもできます。これらの詳細には、修正方法、要求/応答、および問題が発生したテスト・バリアント間の差が含まれます。問題の重大度を操作したり、(修正ありまたは修正なしで) テストを再送したり、問題に基づいたレポートを作成したりできます。
レポート
このセクションでは、スキャン結果からレポートを生成する方法について説明します。
ツール
このセクションでは、HCL AppScan Standard が提供する追加ツールの使用法を説明します。
Integrations
このセクションでは、その他のアプリケーションと AppScan Standard との統合について説明します。
ベスト・プラクティス
このセクションでは、上級ユーザー向けのベスト・プラクティスおよびユース・ケースについて説明します。
よくある質問とトラブルシューティング
CLI
このセクションでは、コマンド行インターフェースを使って使用できる構文およびオプションを説明しています。
参照
メニューおよびツールバーの概要および用語集

パラメーター名

手順

「名前」テキスト・ボックスに、パラメーターか Cookie 名、またはそれに一致する正規表現を入力します。

すべてのテキストは大文字と小文字が区別されます。正規表現の大文字と小文字を区別しない場合には、その正規表現に (?i) を追加してください。
正規表現内の文字列は部分一致と見なされます。(.*) を追加する必要はありません。

いくつかのデフォルト定義が提供されます。


タイプ	値	包含
パラメータ	__VIEWSTATE	名前にこのストリングが含まれるパラメーター
パラメーター/Cookie	^CFID	名前が CFID または cfid で始まるパラメーターおよび Cookie
パラメーター/Cookie	Token	名前に「Token」が含まれるパラメーターおよび Cookie

注: 正規表現とは、特定の構文規則に従ってストリングのセットを記述するストリングのことです。Expression Test PowerTool (「ツール」>「Expression Test」) は、正規表現の構文を確認するのに役立ちます。

正規表現を作成するための支援がさらに必要な場合は、次のリンクが役立ちます。http://www.regular-expressions.info/quickstart.html