製品の管理方法について説明します。
AppScan Enterprise でセキュリティー・テストを準備する方法について説明します。
AppScan Enterprise でセキュリティー・テスト・ポリシーを作成およびインポートする方法を説明します。
ユーザー・グループとアクセス権限を管理する方法について説明します。
管理者は、Enterprise Console および AppScan Server のログ・ファイルの設定を構成し、それらを問題のトラブルシューティングに必要なときにダウンロードすることができます。この機能を使用すると、Enterprise Console や AppScan Server がインストールされているコンピューターのファイル・システムを検索する必要がなくなります。
AdminUtil ツールを使用すると、ユーザーは AppScan Enterprise Server と DAST Scanner で構成ウィザードを再実行しなくても、パスワードをリセットできます。このユーティリティーは、対話モードとサイレント・モードの 2 つのモードで実行できます。対話モードによるサービス・アカウント・パスワードのリセットについて詳しくは、「サイレント・モードの ASE AdminUtil ツールによる AppScan Enterprise でのサービス・アカウント・パスワードのリセット」を参照してください。
AppScan Enterprise (ASE) AdminUtil ツールを使用すると、サービス・アカウント・パスワードをリセットするために、ユーザーが AppScan Enterprise Server、IAST Communication Service、DAST Scanner、データベース・サービス、警告サービスで構成ウィザードを再実行することを回避できます。このユーティリティーを対話モードとサイレント・モードの 2 つのモードで実行することで、これを達成できます。対話モードによるサービス・アカウント・パスワードのリセットについて詳しくは、「ASE AdminUtil ツールによる AppScan Enterprise でのサービス・アカウント・パスワードのリセット」を参照してください。
「アクティビティー・ログ」レポートを作成して、AppScan Enterprise を使用しているユーザーおよびそのユーザーが AppScan Enterprise で実行していることを判別できます。レポートには、変更を行ったユーザーと変更が行われた時間がリストされています。ログは常にアクティビティーを記録しているため、ユーザーはレポートを作成するだけで済みます。「アクティビティー・ログ」レポートを作成できるのは管理者のみですが、どのユーザーに対しても、レポート・パックのプロパティーの一部としてレポートに対するアクセス権限を与えることができます。他のユーザーが「アクティビティー・ログ」レポートを見ることを望まない場合は、レポート・パックの「ユーザーおよびグループ」ページで「他のすべてのユーザー」を「No Access」に変更します。
アクティビティー・ログを使用して、AppScan Enterprise を使用しているユーザーおよびそのユーザーが AppScan Enterprise で実行していることを判別できます。アクティビティー・ログには、変更を行ったユーザーと変更が行われた時間がリストされています。これは、セキュリティー監査で、ユーザーによって実行された可能性のある許可されていないアクティビティーまたは異常なアクティビティーを検出する場合に役立ちます。管理者のみがアクティビティー・ログを表示できます。デフォルトでは、アクティビティー・ログ・データは 1 年間保持されます。
製品管理者は、各サーバーが最適なパフォーマンスになるよう管理する責任があります。
現在実行中または実行を待機中のスキャン・ジョブの状況を確認し、主要なスキャン・ジョブを実行する優先順位付けを行うことができます。例えば、時間依存の成果物 (休日の特売品など) の一部であるスキャン・ジョブがあるとします。それらのジョブをキューの先頭に移動することで、確実にスケジュール内でのそのジョブの優先順位を最初にすることができます。
セキュリティー・ルールは、AppScan® Enterprise リリースの一部として更新されます。セキュリティー・ルールのバージョンおよびリリースの日付は、AppScan Enterprise のメインメニューの「バージョン情報」リンクから確認することができます。
AppScan® Standard は、何千ものテストのデータベースを提供しています。ただし、ご使用の Web アプリケーションが固有の問題を抱えている場合や、問題を解決するための独自のアドバイザリーを書き込みたい場合、独自のテストを作成できます。それらのテストは、AppScan のテストのデータベースに保存され、組み込まれます。それらは *.udt ファイルとしてエクスポートして AppScan Enterprise にインポートすることも可能です。
SQL Server データベースの保守には、SQL Server のアップグレード、SQL データベースのバックアップ、ログ・ファイルの構成、データベースの使用法が含まれています。
サーバー・グループは、1 つの単位としてテスト可能な複数の項目のグループです。同じセキュリティー・テストがグループ内のすべてのサーバーに適用されます。サーバー・グループには、ドメインおよび IP アドレスの任意の組み合わせを設定できます。
アドレス範囲の有効化または無効化を望む場合 (インストール済み環境全体に影響します)、そのように実行できます。あるアドレスの範囲を無効にするのは、バックアップ処理中のサーバーがある場合が考えられます。この場合、それらのサーバーの IP アドレス範囲を無効にすることで、誰もそれらのサーバーに対してセキュリティー・テストを実行できないようにすることができます。IP アドレスのテストを制限する別の方法には、サーバー・グループのアプリケーションを使ってユーザー・レベルで行う方法があります。
セキュリティー・テスト・ポリシーは、セキュリティー・テストの定義済みセットです。ユーザーがセキュリティー・スキャンを実行するには、サーバー・グループとテスト・ポリシーの両方がユーザーにあらかじめ割り当てられている必要があります。
単純セキュリティー・テスト・ポリシーは、デフォルトのテスト・ポリシーです。テストの概要を定義します。単純テスト・ポリシーを作成および編集して、それらをサーバー・グループに割り当てることができます。次に、サーバー・グループとテスト・ポリシーの組み合わせをユーザーに割り当てて、セキュリティー・スキャン時に使用することができます。
バリアント・レベルのぜい弱性までテストし、スキャン時に送信されるテストを完全に管理できるようにするには、詳細セキュリティー・テスト・ポリシーを使用します。詳細セキュリティー・テスト・ポリシーを AppScan® Standard Edition 7.5 (以降) からインポートし、それらをサーバー・グループに割り当てることができます。
AppScan® Standard からセキュリティー・テスト・ポリシー・ファイルを再インポートする必要がある場合、ワークフローに影響を与えずに再インポートできます。
製品管理者によって、セキュリティー・テスト・ポリシーとサーバー・グループにジョブ管理者が割り当てられます。セキュリティー・テスト・ポリシーでは、実行できるテストを定義します。サーバー・グループでは、それらのテストの実行対象のアプリケーション/サーバーを定義します。
サーバー・グループ (テスト対象) およびセキュリティー・テスト・ポリシー (実行するテスト) を作成した後、それらをユーザーに割り当てる必要があります。ユーザーは、セキュリティー・テストを割り当てたサーバー・グループに対してしか実行できません。ユーザーにテスト・ポリシーが割り当てられていない場合、セキュリティー・スキャンを実行できません。
AppScan Enterprise でスキャン・テンプレートを作成する方法について説明します。