REST API を使用した IAST

REST API により、エージェントの配置など、IAST スキャンを構成および開始します。

始める前に

ASoC REST API の一般情報については、次を参照してください。 REST API

Swagger で次のリソースも参照してください:

手順

API キーを取得します。
以下のいずれかの操作を行い、スキャンを実行したいアプリケーションの ID を取得します:
- ユーザー・インターフェースで特定のアプリケーションのタブを開き、URL を確認します。「scans」の前の最後のセクションが ID です。この例の場合は:
```
cloud.appscan.com/AsoCUI/serviceui/main/myapps/app01/123456a-78b-90c-123ab4c/scans
```
  アプリケーション IDは 123456a-78b-90c-123ab4c です。
- また、REST API GetApps エンドポイントからユーザー (API キー) のすべてのアプリケーション ID のリストを取得できます。
```
request URL:
                  GET https://cloud.appscan.com/api/v4/Apps
                  headers:
                  "Authorization=Bearer <api key>"
                  Parameters:
                  “$select=Id"
```
CreateIastAnalyzerScan エンドポイントを使用して、IAST スキャンを作成します :
```
request URL:
            POST https://cloud.appscan.com/api/v4/Scans/IASTAnalyzer
            headers:
            " Authorization=Bearer <token>, Accept: application/json, Content-Type: application/json"
            Json: {
            "ConnLostStopTimer": true, 
            "ScanName": <scanName>, 
            "EnableMailNotification": true, 
            "Locale": "en-US", 
            "AppId": <appId>, 
            "Personal": false
            }
```
本文には、入力パラメーター scanModel が入ります (以下のフィールドがある JSON 構造です):
- ScanName はスキャンに付ける名前です。
- AppId (前のステップを参照)
- ConnLostStopTimer は、エージェントの接続が失われた場合にスキャンを停止するためのオプションのタイムアウト (分) です。空白のままにすると、エージェントの接続が失われてもスキャンが継続され、何もレポートされません。例えば、エージェントが切断している間に、ライセンスが他のユーザーに取得されるのを防ぐ場合などに使用できます。
- 個人スキャンとしてスキャンを実行する場合を除き、Personal は false に設定する必要があります。
応答本文には ScanId が含まれます。これを保存して次のステップで使用します。
前のステップで作成したスキャンに問題をレポートするように事前構成されたエージェントをダウンロードします。 Tools/DownloadWithKey エンドポイントを使用して、これを実行します。
```
request URL:
          GET https://cloud.appscan.com/api/v4/Tools/IastAgentWithKey?scanId==<scan_id>
          headers:
          "Authorization=Bearer <api key>, Accept: application/zip"
```
scan_id は、前のステップの最後で保存した ID です。
アプリケーション・サーバーに IAST エージェントを配置します。
エージェントはアプリケーションに送信されるトラフィックの監視を開始し、検出した脆弱性を ASoC にレポートします。
IAST のアプリケーションにトラフィックを送信し、モニターします。これを、定期的なシステム・テストまたは DAST スキャンとすることができます。
検出された問題は今後、IAST スキャンに記録されるようになります。