ホーム
ソフトウェア・コンポジション分析
ソフトウェア・コンポジション分析 (SCA) を使用して、コードで使用されるオープン・ソースおよびサードパーティ・パッケージのセキュリティー上の脆弱性をスキャンします。SCA には、Intelligent Finding Analytics (IFA) と Intelligent Code Analytics (ICA) が含まれます。
ライブラリおよびサードパーティ・コードにおけるセキュリティ脆弱性のスキャン
オープンソース・ライブラリおよびサードパーティ・コードでセキュリティの脆弱性をスキャンするには、次のトピックの手順に従います。
コマンド行インターフェース (CLI) を使用した IRX ファイルの生成
ファイルの分析を開始するには、IRX ファイルを生成してスキャン用に送信する必要があります。CLI を使用して IRX ファイルを生成するには、以下の手順に従ってください。
CLI コマンド解説 (Linux および macOS)
小規模なクライアント・コマンド行インターフェース (CLI) を使用して静的分析を実行するための Linux 固有のコマンド。CLI は、ローカル・ディスクにダウンロードして解凍して使用します。
コマンド・ヘルプ
コマンド help を使用すると、使用可能なコマンドのリストを表示したり、または各コマンドの情報を表示したりできます。

作業の開始
HCL AppScan on Cloud の資料にようこそ。この資料では、このサービスのインストール、保守、および使用に関する情報を参照できます。
ナビゲーション
このセクションでは、AppScan on Cloud のメイン・メニュー・バーの項目と、詳細情報へのリンクについて説明します。
管理
ユーザー、アプリケーション、ポリシーを定義し、DevOps 統合を構成します。
動的分析
AppScan on Cloud は、実稼働環境、ステージング環境、開発環境の Web アプリケーションのセキュリティー・スキャンを実行します。開発環境では、プライベート・サイトのスキャン・テクノロジーの助けを借りて、オープンなインターネットからはアクセスできないアプリケーションをスキャンします。
インタラクティブ監視
ASoC は、アプリケーションにインストールされたエージェントを使用して、正当な対話と悪意のある対話の両方をすべて監視することにより、実行時にアプリケーション内のセキュリティーの脆弱性を特定します。IAST は独自のテストを送信しないので、プロセスは「パッシブ」であり、そのため無期限に実行できます。
ソフトウェア・コンポジション分析
ソフトウェア・コンポジション分析 (SCA) を使用して、コードで使用されるオープン・ソースおよびサードパーティ・パッケージのセキュリティー上の脆弱性をスキャンします。SCA には、Intelligent Finding Analytics (IFA) と Intelligent Code Analytics (ICA) が含まれます。
- ソフトウェア・コンポジション分析について
  ソフトウェア・コンポジション分析 (SCA) は、コードで使用されるオープン・ソース・パッケージおよびサードパーティー・パッケージを検索して分析します。
- SCA に対するシステム要件
  オープン・ソース・テストを実行する場合に、ASoC でスキャン可能なファイルのタイプ。
- ライブラリおよびサードパーティ・コードにおけるセキュリティ脆弱性のスキャン
  オープンソース・ライブラリおよびサードパーティ・コードでセキュリティの脆弱性をスキャンするには、次のトピックの手順に従います。
  - 次でのオープン・ソース・スキャンの構成: AppScan on Cloud
  - AppScan Go! を使用したスキャンの構成
    AppScan Go! は、静的スキャンの構成と実行の手順を示します。クラウドでスキャンを実行するか、プラグインを使用してスキャンを自動化します。
  - コマンド行インターフェース (CLI) を使用した IRX ファイルの生成
    ファイルの分析を開始するには、IRX ファイルを生成してスキャン用に送信する必要があります。CLI を使用して IRX ファイルを生成するには、以下の手順に従ってください。
    - SCA で使用するための Static Analyzer コマンド行ユーティリティーの設定
      ソフトウェア・コンポジション分析の場合は、小さいコマンド行ユーティリティーをダウンロードしてください。ユーティリティーをローカル・ディスクに解凍すると、コマンド行インターフェース (CLI) を使用してセキュリティー分析を実行できます。
    - CLI を使用した IRX ファイル生成の構成
      IRX ファイルの生成に構成ファイルを使用します。その場合は、個々のターゲットを指定する、つまりターゲットを含めるか除外するかを指定することができます。さらに、構成ファイルを使用して完全な IRX ファイルの生成に役立つ追加情報を指定することもできます。
    - CLI コマンド解説 (Windows)
      小規模なクライアント・コマンド行インターフェース (CLI) を使用して静的分析を実行するための Windows 固有のコマンド。CLI は、ローカル・ディスクにダウンロードして解凍して使用します。
    - CLI コマンド解説 (Linux および macOS)
      小規模なクライアント・コマンド行インターフェース (CLI) を使用して静的分析を実行するための Linux 固有のコマンド。CLI は、ローカル・ディスクにダウンロードして解凍して使用します。
      - 分析コマンド
        分析コマンドは、分析のためのスキャン要求を送信するために、または既に送信されているスキャン要求を操作するために使用します。これらのコマンドを使用して、スキャンに関する情報を取得することもできます。この情報は、自動化スクリプトに役立ちます。
      - 認証コマンド
        認証コマンドを使用して、ASoC サービスにログインします。
      - 構成コマンド
        構成コマンドを使用して、スキャンするファイルを準備します。
      - グローバル・コマンド
        グローバル・コマンドを使用して、CLI ヘルプと Static Analyzer コマンド行ユーティリティーのバージョン情報を表示します。
      - コマンド・ヘルプ
        コマンド help を使用すると、使用可能なコマンドのリストを表示したり、または各コマンドの情報を表示したりできます。
      - レポート・コマンド
        スキャン・レポートを生成するには、レポート・コマンドを使用します。
      - 結果コマンド
        結果コマンドを使用して、分析サービスからスキャン結果を取得します。
  - プラグインまたは IDE を使用した IRX ファイルの生成
- SCA スキャン結果
  SCA スキャン結果で使用できる機能。
静的分析
静的分析 (SAST) を使用して、Web アプリケーションとデスクトップ・アプリケーションのセキュリティーの脆弱性をスキャンします。静的分析には、Intelligent Finding Analytics (IFA) と Intelligent Code Analytics (ICA) が含まれます。
結果
[スキャンとセッション] ページには、DAST、SAST、SCA、および IAST カテゴリーの下にスキャンが一覧表示され、スキャン統計を含むスキャン結果を確認できます。レポートを表示、再スキャン、またはダウンロードするには、スキャンを選択します。
トラブルシューティング
サービスに関する問題が発生した場合、以下のトラブルシューティング・タスクを実行して、行うべき是正処置を決定することができます。
よくある質問および参照
よくある質問、製品ライフサイクル (SDLC) への ASoC の統合に関する情報、および ASoC API 資料。

コマンド・ヘルプ (Linux™ と macOS)

コマンド help を使用すると、使用可能なコマンドのリストを表示したり、または各コマンドの情報を表示したりできます。

`appscan.sh help`

構文:

CLI を使用して使用可能なコマンドのリストを表示するには、コマンド appscan.sh help を発行します。

CLI を使用して各コマンドの情報を表示するには、コマンド appscan.sh help <command> を発行します。<command> には、ヘルプを表示したいコマンドが入ります。