ライブ実稼働環境のスキャン

AppScan を使用してライブ・サイトをスキャンする前に、以下のリスクと提案について考慮してください。

稼働中のサイトをスキャンする際、定義済みの実動サイト・テンプレートを使用できます。このテンプレートには、特別に選択された実動サイト・テスト・ポリシーのほか、稼働中のサイトに損害を与えたり、実際のユーザーに対するサービス妨害が発生したりするリスクを最小限に抑えるよう設計された構成設定が入っています。

独自の構成またはテスト・ポリシーを使用する場合、以下のセクションは、スキャンを効果的に構成する上で役立ちます。

スキャン中に送信される人工的な情報でデータベースがいっぱいになる可能性

以下の予防措置を取ることによって、この影響を緩和することができます。

  • フォームの自動入力を無効にします (「スキャン構成」>「フォームの自動入力」> 最初のチェック・ボックス)。

    これにより、 AppScan® が、自動 的にフォームに入力して、データベース、掲示板、またはオンライン・フォーラム・システムをフラッディングする可能性のあるデータを送信したり、管理者アカウントまたはモデレーター・アカウントに不必要な電子メールを送信したりすることがなくなります。ただし、これにより、AppScan® Standard は、フォームを送信することによってアクセスできるサイトの領域にアクセスできなくなることにご注意ください。この操作モードでは、AppScan® は、(パラメーターの指定にかかわらず) リンクをたどることによってアクセスできるサイトの領域のみをスキャンします。

  • AppScan® が使用するテスト・アカウントを作成します。

    テスト・アカウントを使用すると、データベースの変更の追跡が簡単になり (例えば、サービスが実際に注文されないようにするなど)、サイト管理者がスキャン後にサイトをクリーンアップしやすくなります。

    アカウントの作成時に、以下の提案を考慮してください。
    • 変更されたレコードを復元できるように、データベースのアクセスをテスト・レコードのみに制限する。
    • テスト・アカウントによって作成される新規レコードが削除されるようにする。
    • テスト・アカウントからの注文書 (または他のトランザクション) が無視されるようにする。
    • トランザクションによって影響が生じる場合 (例えば、株を処理する場合) は、アカウントのアクセスをテスト・レコードに対してのみ許可する。
    • サイトにフォーラムがある場合は、テスト・ステージ中に作成されたテストが実際の顧客に表示されないように、テスト・アカウントのアクセスをテスト・フォーラムに対してのみ許可する。
    • サイトにさまざまなアカウント用のさまざまな特権がある場合は、さまざまな特権を持つ複数のテスト・アカウントを設定する。これにより、サイトをより包括的にスキャンできるようになります。
    • 管理者レベルのアクセス権限を持つテスト・アカウントを作成しない。

電子メール・フラッディングのリスク

電子メール通知を使用するページをテストする場合、AppScan® が多くの要求を生成して、サイトの電子メール・サーバーが過負荷の状態に陥る可能性があります。

以下の 1 つ以上の提案は、これに対処するのに役立ちます。

  • 電子メールが無効な電子メール・アドレスに送信されるよう、テスト対象のページ上の電子メール・アドレスを一時的に変更する。
  • 適切であれば、このようなページを実動スキャンから除外するよう AppScan® を構成する。
  • 一度に 1 つの Web サーバーのみをスキャンし、スキャン中に SMTP サーバーに接続しないようにする。
  • 「フォームの自動入力」を有効のままにする場合は、電子メールのフィールドに固有な値が挿入されるように構成して、受信者が AppScan® によって生成された電子メールを簡単に識別できるようにする。

プロキシーによるスキャン

可能であれば、プロキシーによるスキャンは避けてください。これはサポートされていますが、プロキシーが原因で結果が不明確になる場合があります。

スキャンがアプリケーションからロックアウトされるリスク

間違ったログイン試行が特定の回数に達した後にユーザーをロックするように構成されているアプリケーションもあります。スキャン中にこれが発生すると、AppScan® は間違いなくスキャンを完了できなくなります。

これを回避するには、以下のようにします。

  • 「ログインおよびログアウト・ページに関するテストを送信します」を無効にする (「スキャン構成」>「テスト・オプション」)。

アプリケーション障害を引き起こすリスク

AppScan® がライブ・アプリケーションの障害を引き起こすリスクを回避するために、安全でないテストをテスト・ポリシーで非アクティブにすることができます。これにより、サービス妨害、バッファー・オーバーフロー、またはアプリケーションか Web サーバーの障害を引き起こす可能性のある他のテストが送信されなくなります。

重要: 多くの場合、Web アプリケーションには、安全でないテストによってのみ発見できる脆弱性が含まれています。安全でないテストをまったく省略してしまうことは推奨されていません。Web サイトの所有者または管理者と連携して、例えば、アプリケーションがアイドル状態になっていると予想されるオフピーク時にスキャンをスケジュールすることによって、このような脆弱性に対してアプリケーションをテストしてください。

現在のテスト・ポリシーで安全でないテストを無効にするには、以下のようにします。

  1. 「構成」>「テスト・ポリシー」を開きます。
  2. 「安全でないテスト」列をクリックして、すべての安全でないテストを 1 つのグループにまとめます。
  3. 安全でないテスト (「安全でないテスト」値が「安全でない」になっているテスト) をスクロールダウンして、現在選択されているテストがあれば選択解除し、そのテストをスキャンから実行できるようにします。