相関

それぞれのコア・テクノロジー (IAST、DAST、および SAST) には長所と短所があります。相関で各テクノロジーの長所を活かしながら、短所を他のテクノロジーの利点で克服することができます。

相関により、AST 機能が強化され、優先順位付けプロセスが改善され、修復の時間と労力が削減されます。

DAST の問題を IAST および SAST の詳細で充実した表示にします。
IAST および DAST 結果の精度を利用して SAST 検出結果に優先順位を付けます。
IAST および DAST の問題の最新の状況から SAST の修正を検証します。
問題をグループ化して、脆弱性と修復タスクの数を減らします。

注:

IAST サブスクリプションがあれば、関連する IAST、DAST、または SAST の問題が検出されるたびに、相関が自動的に更新されます。既存の相関グループは新しい問題で自動的に更新され、必要に応じて新しいグループが作成されます。ユーザー・アクションは不要です。

動作説明

相関は、IAST ソリューションに基づきます。IAST は実行時にアプリケーションにアクセスでき (DAST など)、ソース・コードを表示できます (SAST など)。当社の自動相関アルゴリズムは、DAST および SAST の問題と IAST の問題を一致させます。各問題からデータを抽出し、さまざまなヒューリスティックを使用して相関を特定します。これにより、修復プロセスの最適化を新たなレベルに引き上げます。IAST と相関という武器を加えることで、対処する問題や脆弱性の全体数を減らすことができます。

相関の使用

相関を使用するには、アクティブな IAST セッションが必要です。 ASoC では、相関グループが自動的に作成され、「すべての問題」の「相関グループ」タブに表示されます。 ASoC で、アプリケーションに新たな問題が加わると、継続的に更新され、新しいグループが作成されます。

注: 相関は、IAST がアプリケーションに追加された後に完了した DAST および SAST スキャンの結果にのみ適用できます。以前に実行したスキャンに相関を適用するには、再スキャンします。再スキャンで検出された問題は、関連する相関グループに追加されます。

IAST サブスクリプションがあれば、関連する IAST、DAST、または SAST の問題が検出されるたびに、相関が自動的に更新されます。既存の相関グループは新しい問題で自動的に更新され、必要に応じて新しいグループが作成されます。ユーザー・アクションは不要です。

例(X)

ダッシュボード

相関が特定されると、その相関はアプリケーションのダッシュボードの「問題」グラフに表示されます。

「相関グループ」ページ

「相関グループ」リンクをクリックすると、アプリケーションの「相関」ページが開き、そのアプリケーションに含まれる相関グループがリストされます。

グループ内の問題

グループをクリックすると、その問題が表示されます。

問題の詳細

特定の問題の「問題」ペインの「関連」セクションには、相関グループまたは修正グループ (あるいはその両方) に属している問題が表示されます。

相関の活用

コードの再利用はソフトウェア開発のベスト・プラクティスであることを誰もが理解しています。ただし、1 つの脆弱なリンクが 1 つのアプリケーションに複数のセキュリティー上の脆弱性をもたらすこともあります。次の図は、脆弱なサニタイザーが複数の SQL 注入の脆弱性を引き起こすおそれがある理由を示しています。REST API 1 には RESP API 2 とは異なるルート/ソースがあるため、それらの脆弱性はスキャン結果に関連なしと表示されます。

相関は、単一のタスクとして修復する必要がある脆弱性を集約します。

以下の例では、相関グループに、異なるテクノロジー (IAST および DAST) によって検出された、異なる重大度で異なる問題タイプの問題が含まれている点に注意してください。

相関により、他の方法では関連があるとは認められなかった多様な問題を、一度の修復作業で解決できるようになりました。