IAST エージェントを使用した OWASP ベンチマーク
OWASP ベンチマーク・プロジェクトは、ソフトウェアの脆弱性検出ツールを評価するように設計された Java テスト・スイートです。HCL AppScan IAST Java エージェントは、OWASP ベンチマークに完全に準拠しています。
手順
AppScan IAST Java エージェントで OWASP ベンチマークを実行するには、次のようにします。
-
次から
BenchmarkJavaとBenchmarkUtilsの複製を作成します。https://github.com/OWASP-Benchmark . -
コマンドプロンプトを開き、
BenchmarkUtilsディレクトリーに移動して、mvn install -DskipTestsを実行します。 - AppScan Enterprise の場合: Java IAST エージェントのダウンロードと Web サーバーへのデプロイで説明するとおり、IAST Java セッションを開始し、エージェント zip をダウンロードします。
-
zipファイルの内容を抽出します。 -
抽出した
JAR内のjar_deploymentフォルダでsecagent.jarを見つけ、BenchmarkJava\tools\HCLにコピーします。 -
コマンドプロンプトから
runBenchmark_wHCL.batを実行し、「[情報] コンテナを停止するには Ctrl-C を押してください...」というメッセージが表示されるまで待ちます。 -
別のコマンド・プロンプトを開き、
BenchmarkJava\runCrawler.batを実行します。 -
クロールが完了したら、 [Ctrl] + [C] キーを押して、Benchmark Tomcat インスタンスを停止します。
「バッチ・ジョブを終了します (Y/N)?」する場合は、 Nを入力します。 -
BenchmarkJava\createScorecards.batを実行しますテスト結果は
BenchmarkJava\scorecard\Benchmark_v1.2_Scorecard_for_HCL_AppScan_IAST_v{IAST_version} ファイルにあります。図: OWASP Benchmark v1.2 結果の比較
