前のバージョンからのアップグレード時における製品の変更点

前のバージョンからのアップグレード時に、ご使用のスキャンまたはレポート・データに影響を与える可能性がある変更点について説明します。アップグレード・プロセスを理解するために、必ずすべてのトピックをお読みください。

10.0.5 へのアップグレード

AppScan Enterprise v10.0.5 以降では、AppScan Enterprise IAST の機能が働くためには有効なライセンスが必要です。そのため、IAST エージェントの機能は、以下のライセンス・シナリオによって異なります。
  • AppScan Enterprise v10.0.5 以降へのアップグレード時に IAST ライセンスをサブスクライブ (またはインストール) しない場合、デプロイ済み IAST エージェントはすべて、事前定義された状況に関係なく無効になります。
  • アップグレードする AppScan Enterprise v10.0.5 以降のバージョンで購入した IAST ライセンスの数よりも多くの IAST エージェントをデプロイした場合、ライセンスが不足しているため、余分の IAST エージェントは無効になります。

10.0.2 から 10.0.3 へのアップグレード

AppScan Enterprise IAST Communication Service または AppScan Source Database Service、あるいはその両方を使用する顧客の場合。
  • AppScan Enterprise V10.0.2 から AppScan Enterprise v10.0.3 バージョンにアップグレードする場合は、2 つのサービス (AppScan Enterprise IAST Communication ServiceAppScan Source Database Service) を手動で停止する必要があります。そのためには、AppScan Enterprise v10.0.2 インストール・ディレクトリー内のそれぞれのサービス向けに用意されているバッチ・ファイル shutdown.bat を実行します。

    バッチ・ファイルは、これらのサービスごとに、AppScan Enterprise インストール・ディレクトリーにあります。

    デフォルトのインストール・ディレクトリーが選択されている場合、以下がその場所になります。
    • IAST サービスを停止する shutdown.bat は、C:\Program Files (x86)\IBM\AppScan Enterprise\IASTService にあります。
    • AppScan Source Database Service を停止する shutdown.bat は、C:\Program Files (x86)\IBM\AppScan Enterprise\AppScanDBService にあります。
9.0.3 からのアップグレード
  • カスタム・エラー・ページはグローバルには設定されず、コンテンツ・スキャン・ジョブにだけ設定されます。アップグレード時に、各コンテンツ・スキャン・ジョブ、*.scant ジョブ、および動的分析スキャン・ジョブのグローバル・カスタム・エラー・ページが個々のジョブに移動されます。
  • 「フォルダー・エクスプローラー」ビューの既存のコンテンツ・スキャン・ジョブ (AppScan Dynamic Analysis Client で作成されないクイック・スキャン・ジョブを含む) では、構造 (DOM) ベースの類似ページのフィルタリングを有効にする「探査オプション」ページの新規チェック・ボックスが使用可能になります。既存のコンテンツ・スキャン・ジョブについて、以下のようになります。
    • 冗長なパスの制限が 5 に設定されている場合、このオプションは無効にされ、DOM ベースのフィルタリングがオンになります
    • 冗長なパスの制限が別の値に設定されている場合、このオプションは有効のまま保持され、DOM ベースのフィルタリングはオンになりません
    • 類似コンテンツ制限が 5 に設定されており、HTML 構成が有効にされている場合、このオプションはオフになり、DOM ベースのフィルタリングがオンになります
    • 類似コンテンツ制限が別の値に設定されているか、テキストと HTML 構成を比較する場合、このオプションは有効のまま保持され、DOM ベースのフィルタリングはオンになりません
  • セキュリティー・ルールの問題のタイプは、定期的に変更されます。セキュリティー・ルールの更新後に存在しなくなった古い問題のタイプを使用するスキャンがある場合、更新後にそれらの問題タイプを使用する問題は表示されなくなります。そして、新しい問題が新規問題タイプを使用して表示されます。これらの問題は再度トリアージする必要があります。
9.0.2.1 からのアップグレード
  • 構成ウィザードの「AppScan Server 設定の復元」画面に、<install-dir>\HCL\AppScan Enterprise\Liberty\usr\servers\<instance_name>\lib\scanners に追加されている可能性があるカスタム・スキャナー *.jar ファイルを保存するオプションが追加されました。
9.0.2 からのアップグレード
  • 旧リリースでは、インポートされた問題は累積的でした。v9.0.2.1 では、以前にアプリケーションで検出されたものの、その後のインポートには含まれていない問題を削除することができます。v9.0.1 のスキャナー・プロファイルでは、以前の動作を優先するために v9.0.2.1 の「孤立問題の削除」チェック・ボックスが無効になっています (チェック・ボックスをクリアするとオーバーライドすることができます)。
  • 新規問題属性名をスキャナー・プロファイルに追加すると、「インポート値の使用」チェック・ボックスがデフォルトで有効になります。既存の問題属性を、インポートされたファイルに含まれる値で更新する場合は、「インポートされた値を使用」チェック・ボックスを有効なままにします。このチェック・ボックスをクリアすると、AppScan Enterprise では以前に使用されていた値を維持します。「一意性」チェック・ボックスを選択すると、「インポート値の使用」チェック・ボックスをクリアすることができません。
  • REST API に変更があります。
  • 新しい期限切れの数式が使用可能です。前のバージョンの AppScan Enterprise で期限切れの属性を作成していた場合、v9.0.3 では「_1」がその名前に追加され、数式で使用する期限切れの属性が新たに作成されます。

9.0.1 からのアップグレード

  • 新規」という問題状況が導入されました。アップグレード時に、「モニター」ビューの「ポートフォリオ」タブに「新規」の問題列が表示可能になります。数式が「新規」状況の問題を含むように更新されました。アップグレードを実行しても、前のバージョンでディスカバーされた問題の状態には影響を与えません。
  • 新規「ダッシュボード」タブには、v9.0.1の「ポートフォリオ」タブに表示されていたグラフが表示されます。新規ダッシュボードには、「セキュリティー・リスク等級」、「テスト状況」、「未解決の問題があるアプリケーション」、および「未解決の問題」の傾向グラフが含まれます。
    注:

    v9.0.1 のアプリケーション属性カスタマイズと、新しい v9.0.2 のダッシュボード傾向グラフの間で生じる可能性がある命名の競合

    未解決の問題」と「未解決の問題があるアプリケーション」のグラフは、数式として定義される「未解決の問題」という新規アプリケーション属性に依存します。ただし、以前に数式以外の任意のタイプの「未解決の問題」というアプリケーション属性を作成していた場合、アップグレード・プロセスは、以前に使用していた属性と、新規グラフ用にバージョン 9.0.2 で必要な属性の間の競合を解決しようとしません。

    アップグレード後に、新規グラフは意図したとおりに表示されないため、この問題を手動で解決する必要があります。以前の「未解決の問題」の値を保存したい場合、その「未解決の問題」の属性を他の名前に変更してください。新しい名前を反映するように、「未解決の問題」属性を参照していたすべての数式を更新します。その後、構成ウィザードを再実行して、新しいグラフに必要な「未解決の問題」数式属性を作成します。

  • テンプレートを作成するセキュリティー・チームと、スキャンを作成する開発者の両方のために、AppScan Standard と一貫性のあるスキャンを作成する新しいアプローチを採用しています。『v9.0.2 以上と旧バージョンのスキャン構成の違いに関する概要』を参照してください。
    • 新規メソッドは、「モニター」ビューと「スキャン」ビューの両方からアクセスします。
    • v9.0.1.1 からの既存のスキャン・テンプレートはアップグレード後も保持され、従来のクイック・スキャン・テンプレート作成方式も引き続き使用できます。
    • この新方式を利用するには、アップグレード時に構成ウィザードの後にデフォルト設定ウィザードを実行して、v9.0.2 用のテンプレートをインストールする必要があります。
    • フォルダー・エクスプローラーの「テンプレート」ディレクトリーでのテンプレート名の競合を避けるため、(v9.0.2) がテンプレート名に追加されます。
    • AppScan Enterprise の新規インスタンスをインストールした場合も、引き続き v9.0.1.1 からのテンプレートにアクセスできます。「スキャン」ビューから新規のコンテンツ・スキャンまたはテンプレートを作成する場合は、「以前に保存された設定ファイルを使用して作成」を選択して、<install-dir>\AppScan Enterprise\Initializations\ASE\DefaultTemplates\Job\Version 9.0.1.1 に進み、*.xml ファイルを選択します。
  • Liberty の組み込みバージョンが v8.5.5.4 になりました。構成中、Liberty Server に AppScan Server の前のカスタマイズ設定を復元するように選択できます。『AppScan Server の設定の復元』を参照してください。

新機能と v9.0.1.1 からの変更点について詳しくは、ホワイト・ペーパーを参照してください。

9.0 からのアップグレード

  • AppScan Enterprise v9.0.1 には、インストールのフットプリントを削減し、ユーザー認証コンポーネントとして IBM Rational Jazz Team Server (Jazz Team Server) を削除するアーキテクチャー再設計が組み込まれています。Jazz Team Server の削除に伴い、Apache Tomcat と WebSphere Application Server のデプロイメント・サーバーは v9.0.1 ではサポートされなくなりました。これらは IBM WebSphere Application Server Liberty Core v8.5.5.2 に置き換わりました。Jazz Team Server から WebSphere Liberty への置き換え - よくある質問を参照してください。
  • v9.0.1 の新規インスタンスでは、リスク等級の数式が変更されました。v9.0 からアップグレードする場合、リスク等級の数式は同じまま残り、リスク等級は一貫性のある状態で維持されます。ただし、AppScan Enterprise のアプリケーション・プロファイル・テンプレートの古い数式を置き換えることで、新しい数式 IF(businessimpact = 0, 0, IF(testingstatus > 0, 0, businessimpact * rr_maxseverity)) を使用できます。
  • アプリケーション・ビューを使用した問題管理: v9.0 では、問題の管理特権は、スキャンが含まれるフォルダーに対して設定されていました。v9.0.1 では、問題の管理特権はアプリケーションに対して設定されます。9.0 からのアップグレード時、スキャンが既にアプリケーションと関連付けられている場合、フォルダーに対する問題管理権限を持っていたユーザーは、そのアプリケーションに対する基本的な権限を持つようになるため、引き続きその問題を管理できます。ただし、ユーザーに、以前にアクセスを許可されていなかったスキャンへのアクセス権が付与される可能性があります。例えば、以下のようにします。
    v9.0 v9.0.1 結果
    フォルダー A: (Bob が問題マネージャー・ロールを持っている)
    • スキャン X
    • スキャン Y
    フォルダー B: (Mary が問題マネージャー・ロールを持っている)
    • スキャン A
    • スキャン B
    アプリケーション 1 は以下のスキャン・ジョブに関連付けられている:
    • スキャン X
    • スキャン B
    Mary は、スキャン B に対する基本的なアクセス権限を持っているので自分のジョブを引き続き実行できますが、(v9.0 では持っていなかった) スキャン X に対するアクセス権も持っています。
    特定のアプリケーションの問題管理に対するユーザーの権限を制限するには、そのユーザーがアクセスを許可されていないアプリケーションの基本アクセス権限からそれらを削除してください。上記の例では、スキャン X で Mary の基本アクセス権限を削除します。 スキャン X が含まれているアプリケーションを見つけるには、「スキャン」ビューに移動し、階層をフラット化してジョブのみを表示します。スキャン X を見つけたら、それが関連付けられているアプリケーション名のリンクをクリックします。「アプリケーション」タブで、「詳細の表示」をクリックし、ダイアログの「ユーザー」セクションで、Mary の基本アクセス権限を削除します。