ホーム
開発
製品を使用した開発方法について説明します。
AppScan® Source for Analysis および障害追跡
AppScan® Source for Analysisは障害追跡システムIBM® Rational Team Concert™と統合されているため、確認されたソフトウェアの脆弱性を開発者のデスクトップに直接送信できます。障害追跡システムに送信される障害には、バグに関する説明文と、障害とともに送信される検出結果のみが記載されているファイルが含まれています。
設定による障害追跡の有効化
「障害追跡システム」の設定では、障害追跡システムへの検出結果の送信を有効にすることと、障害の送信方法を指定することができます。
Rational Team Concert™ 設定
「Rational Team Concert™」設定タブでは、Rational Team Concert サーバーへの接続と、ワークアイテム属性の値を構成できます。

開発
製品を使用した開発方法について説明します。
- ソース・コードのスキャンおよび評価の管理
  このセクションでは、ソース・コードのスキャン方法および評価の管理方法について説明します。
- トリアージおよび分析
  類似した検出結果をグループ化することにより、セキュリティー・アナリストや IT 監査員はソース・コードの問題をセグメント化し、トリアージできます。このセクションでは、AppScan® ソース評価のトリアージを行い、結果を分析する方法について説明します。
- AppScan® ソーストレース
  AppScan® ソーストレースを使用して、入力データの検証およびエンコードが自社のソフトウェア・セキュリティー・ポリシーに沿うものであることを確認できます。入出力トレース・データの生成元になる検出結果を調べて、メソッドを検証ルーチンおよびエンコード・ルーチン、ソースまたはシンク、コールバック、あるいは汚染伝播元としてマークすることができます。
- AppScan® Source for Analysis および障害追跡
  AppScan® Source for Analysisは障害追跡システムIBM® Rational Team Concert™と統合されているため、確認されたソフトウェアの脆弱性を開発者のデスクトップに直接送信できます。障害追跡システムに送信される障害には、バグに関する説明文と、障害とともに送信される検出結果のみが記載されているファイルが含まれています。
  - 設定による障害追跡の有効化
    「障害追跡システム」の設定では、障害追跡システムへの検出結果の送信を有効にすることと、障害の送信方法を指定することができます。
    - Rational® ClearQuest® 設定
      Rational® ClearQuest® の設定を行うには、必要な Rational ClearQuest の設定が Rational ClearQuest の管理者によって提供されている必要があります。設定は、それぞれの Rational ClearQuest 環境に固有です。
    - Quality Center の設定
      最初に汎用の障害追跡システム設定として HP Quality Center を有効にしてから、「Quality Center」タブで個別設定を指定する必要があります。
    - Rational Team Concert™ 設定
      「Rational Team Concert™」設定タブでは、Rational Team Concert サーバーへの接続と、ワークアイテム属性の値を構成できます。
    - Team Foundation Server の設定
      「Team Foundation Server」設定タブでは、Microsoft™ Team Foundation Server への接続と、ワークアイテム・フィールドの値を構成できます。
  - HP Quality Center と AppScan® Source for Analysis の統合
    HP Quality Center を AppScan® Source for Analysis と統合するには、Quality Center クライアントをローカル・コンピューターにインストールする必要があります。Quality Center クライアント・アプリケーションは、Quality Center のブラウザー・ベースのクライアント・インターフェースから Quality Center に初めてログインするときに、ローカル・コンピューターにダウンロードされてインストールされます。
  - Rational® ClearQuest® と AppScan® Source for Analysis の統合
    Rational® ClearQuest® を AppScan® Source for Analysis と統合するには、Rational ClearQuest クライアントをローカル・コンピューターにインストールする必要があります。このインストールには、CQPerl 実行可能ファイルが含まれます。この実行可能ファイルのロケーションは、AppScan Source for Analysis Rational ClearQuest の設定で構成する必要があります。
  - Rational Team Concert™ と AppScan® Source for Analysis の統合
    Rational Team Concert™ と AppScan® Source for Analysis を統合する場合、追加の Rational Team Concert クライアントをコンピューターにインストールする必要はありません。
  - Microsoft™Team Foundation Server と AppScan® Source for Analysis の統合
    Team Foundation Server を AppScan® Source for Analysis と統合するには、Microsoft™ Visual Studio Team Explorer クライアントをローカル・コンピューターにインストールする必要があります。
  - 送信した障害の処理
    少なくない件数の検出結果を個別の障害として送信しても、そのプロセスはバックグラウンドで実行されるため、トリアージ・プロセスを継続できます。障害の送信後、障害システムから受信した障害 ID が、関連する検出結果に追加され、その検出結果とともに保持されます。障害追跡システムに送信した障害を操作するには、このトピックで説明する手順を実行します。
  - バンドルの障害追跡への送信および E メールによる送信
    バンドルに含まれる検出結果は、自社で使用している障害追跡システムに送信できます。または、E メールで送信することもできます。バンドルに検出結果を含めた後、開発者が修復できるよう、それらの検出結果をバグとして送信できます。
  - E メールによる障害の追跡 (E メールによる検出結果の送信)
- 検出結果レポートと監査レポート
  セキュリティー・アナリストおよびリスク・マネージャーは、選択された検出結果のレポート、またはソフトウェア・セキュリティーのベスト・プラクティスおよび法的要件へのコンプライアンスを測定するための一連の監査レポートにアクセスできます。このセクションでは、集約された検出結果データのレポートを作成する方法について説明します。
- カスタム・レポートの作成
  レポート・エディター内で、カスタム・レポートの生成に使用するレポート・テンプレートを作成します。

Rational Team Concert™ 設定

「Rational Team Concert™」設定タブでは、Rational Team Concert™ サーバーへの接続と、ワークアイテム属性の値を構成できます。

接続情報を入力してログインに成功したら、1 つ以上のプロジェクト領域に接続するように選択できます。プロジェクト領域ごとに、属性事前設定値を個別に構成できます。

注: Rational Team Concert™ に接続 (設定を構成するか、または障害を送信することにより接続) すると、SSL 証明書を受け入れるよう指示するプロンプトが出されます。詳細については、Rational Team Concert の SSL 証明書を参照してください。

特定のプロジェクト・エリアの属性値を構成するには、そのプロジェクト・エリアを選択して「構成」を選択します。構成ダイアログ・ボックスで、属性値をハードコーディングされた値または選択された検出結果を参照する変数に設定することができます。例えば、属性値で {Finding.fileName} を使用すると、障害の送信時に検出結果の実際のソース・コード・ファイル名に置き換えられます。それらの変数をサポートしている属性値ではコンテンツ・アシスト (<Ctrl>+<Space>) が提供されます。チームではこれらの構成を共有することをお勧めします。それには、「Rational Team Concert™」メイン設定ページにある「インポート」ボタンと「エクスポート」ボタンを使用します。