ホーム
アプリケーション・リスクの管理
以下のワークフローに従って、組織内のアプリケーション・セキュリティー・リスクを管理してください。
ステップ 2: 脆弱性に関するアプリケーションのテスト
アプリケーション内で特定された脆弱性のテスト方法を説明します。
スキャン作成のシナリオ
これらのシナリオは、開発者とセキュリティー・チームを対象としています。ご使用状態に最も適合するユーザーの役割を使用してください。
開発者
開発者チームは、AppScan のさまざまなメソッドとユーザー・インターフェースを使用してスキャン・テンプレートを作成しています。
テンプレートからのスキャンの作成
セキュリティー・チームがスキャン・テンプレートの作成に使用する方式に応じて、AppScan Dynamic Analysis Client または AppScan Enterprise のユーザー・インターフェースを使用してスキャンを作成できます。これらのトピックでは、状況に応じて必要になるそれぞれのタスクについて説明します。
GraphQL テンプレートを使用したスキャンの作成
AppScan Enterprise 10.1.0 リリースでは、GraphQL テンプレートが導入され、GraphQL 照会が含まれている API をスキャンできるようになりました。この初期バージョンのテンプレートでは、GraphQL 照会が含まれている API でのみテンプレート機能を使用でき、Web アプリケーションでは使用できません。
AppScan Enterprise Postman REST API を使用した API の追加
AppScan Enterprise Postman REST API を使用して API を追加することにより、GraphQL スキャンを作成します。

アプリケーション・リスクの管理
以下のワークフローに従って、組織内のアプリケーション・セキュリティー・リスクを管理してください。
- ステップ 1: アプリケーション・インベントリーの作成
  アプリケーション・インベントリーの作成方法を説明します。
- ステップ 2: 脆弱性に関するアプリケーションのテスト
  アプリケーション内で特定された脆弱性のテスト方法を説明します。
  - 内部またはサード・パーティー・スキャナーからの問題のインポート
    内部またはサード・パーティー・スキャナーから問題をインポートする方法について説明します。
  - スキャン作成のシナリオ
    これらのシナリオは、開発者とセキュリティー・チームを対象としています。ご使用状態に最も適合するユーザーの役割を使用してください。
    - v9.0.2 以上と旧バージョンのスキャン構成の違いに関する概要
      セキュリティー・チーム (メンバーに管理者特権が付与されている) は、AppScan Standard で作成したスキャン構成を使用してテンプレートを作成します。作成したスキャン・テンプレート・ファイルは、AppScan Enterprise で使用できます。開発者 (クイック・スキャン・ユーザー特権が付与されている) は、スキャンを作成する際にこのテンプレートを選択し、新しい AppScan Dynamic Analysis Client のウィザードを使用してスキャンの作成を完了します。スキャン構成を変更する必要があるときにも、同じクライアントを使用します。
    - 開発者
      開発者チームは、AppScan のさまざまなメソッドとユーザー・インターフェースを使用してスキャン・テンプレートを作成しています。
      - テンプレートからのスキャンの作成
        セキュリティー・チームがスキャン・テンプレートの作成に使用する方式に応じて、AppScan Dynamic Analysis Client または AppScan Enterprise のユーザー・インターフェースを使用してスキャンを作成できます。これらのトピックでは、状況に応じて必要になるそれぞれのタスクについて説明します。
        スキャン・テンプレートのタイプ
        これらは、AppScan Enterprise で提供されているスキャン・テンプレートです。セキュリティー・チームが組織固有のテンプレートを作成している場合もあります。
        AppScan Standard スキャン・プロパティーを使用したテンプレートに基づくスキャンの作成
        AppScan Standard からのスキャン構成オプションに基づいたテンプレートを使用するスキャンを作成します。簡単なウィザード (AppScan Dynamic Analysis Client) により、アクション・ベースのログイン、マニュアル探査などの機能を含むスキャン構成オプションが示されます。
        AppScan Enterprise スキャン・プロパティーを使用した、テンプレートに基づくスキャンの作成
        クイック・スキャンは、管理者によって作成されるスキャン・テンプレート内のパラメーター・セットを使用し、サイトをクロールしてコンテンツを検出します。スキャンによってコンテンツが収集された後、そのデータはレポート・エンジンによる分析用にデータベースに格納され、レポートの集合であるレポート・パックを介して使用できるようになります。データ分析タスクの大部分は、これらのレポートで提供されるデータを中心に扱います。
        GraphQL テンプレートを使用したスキャンの作成
        AppScan Enterprise 10.1.0 リリースでは、GraphQL テンプレートが導入され、GraphQL 照会が含まれている API をスキャンできるようになりました。この初期バージョンのテンプレートでは、GraphQL 照会が含まれている API でのみテンプレート機能を使用でき、Web アプリケーションでは使用できません。
        GraphQL テンプレートの取得方法
        GraphQL テンプレートは、GraphQL 照会が含まれている API をスキャンするために使用します。このトピックでは、GraphQL テンプレートを取得する方法について説明します。
        AppScan Enterprise Postman REST API を使用した API の追加
        AppScan Enterprise Postman REST API を使用して API を追加することにより、GraphQL スキャンを作成します。
        ADAC クライアントで外部ツールおよびプロキシー・ポートを使用した API の記録
        ADAC クライアントで外部ツールとプロキシー・ポートを使用して API を記録することにより、GraphQL スキャンを作成します。
        ADAC クライアントで Postman または SoapUI を使用した API の記録
        ADAC クライアントで Postman または SoapUI を使用して API を記録することにより、GraphQL スキャンを作成します。
        AppScan Connect を使用した AppScan Standard からのスキャンの作成
        AppScan Standard を使用してスキャン・ジョブに Postman コレクションをインポートし、このジョブを AppScan Enterprise に複製できます。
      - スキャンの編集
        基本スキャンを編集して構成オプションを変更できます。スキャンを編集する際にヘルプが必要な場合や、設定値をさらに追加する必要がある場合は、セキュリティー・チームに支援を求めてください。セキュリティー・チームは、AppScan Dynamic Analysis Client の詳細ビューでスキャンを編集できます。
      - インポート・スキャンの作成
        インポート・クイック・スキャンは、製品管理者によって作成されるスキャン・テンプレート内のパラメーター・セットを使用して、AppScan® ファイルをアップロードします。ファイルがアップロードされた後、そのデータはレポート・エンジンによる分析用にデータベースに格納され、レポートの集合であるレポート・パックを介して使用できるようになります。
    - セキュリティー・チーム
      セキュリティー・チームは、AppScan Standard に作成されているスキャン構成を使用してテンプレートを作成することができます。
    - AppScan® Dynamic Analysis Client での AppScan® Standard からのスキャン構成の変換
      AppScan® Standard のスキャン・テンプレート (*.scant) に基づく既存のコンテンツ・スキャンがある場合、AppScan Dynamic Analysis Client で直接編集できるようにそのスキャン構成を変換することができます。ただし、スキャン構成を変換した後、その構成を再び AppScan Standard で開くことはできません。
  - ジョブの実行およびスケジューリング
    AppScan Enterprise でジョブを実行する方法とスケジュールする方法について説明します。
  - 2 つの Enterprise Console 間でのスキャンのコピー
    スキャン・プロパティーをエクスポートし、それらのプロパティーに基づいて新規スキャンを作成します。これは、2 つの Enterprise Console のインスタンス間でスキャンをコピーするために使用する方法です。
  - ジョブの停止と再開
    実行中のジョブを停止するために使用できる方法は 3 つあります。各方法を使用する理由はそれぞれ異なりますが、大きな要因は、データを保持するかどうか、またはジョブを停止した時点から実行を続行するかどうかです。中断状態のジョブを再開して、スキャンが停止した場所から続行できます。再開したジョブは、使用可能なエージェント・サーバー上にある次のフリー・エージェントによって処理されます。
- ステップ 3: リスクの判別と脆弱性の優先順位付け
  アプリケーション内で特定されたリスクを判別して、脆弱性の優先順位付けをする方法について説明します。
- ステップ 4: リスクの修復
  アプリケーション内で特定されたリスクの修復方法を説明します。
- ステップ 5: 進行状況の測定とコンプライアンスの実証
  進行状況の測定とコンプライアンスの実証方法について説明します。

AppScan Enterprise Postman REST API を使用した API の追加

AppScan Enterprise Postman REST API を使用して API を追加することにより、GraphQL スキャンを作成します。

手順

以下のいずれかの API を使用して、DAST ジョブを作成します。
- POST/jobs
- POST/jobs/{templateId}/dastconfig/createjob
- POST/jobs/createjobBasedOnTemplateFile
API を使用して GraphQL 照会が含まれている Postman コレクションを追加します。 POST/jobs/{jobId}/dastconfig/postman/create

注: コレクションの追加について詳しくは、「AppScan Enterprise REST API Swagger」ページの資料を参照してください。