ホーム
開発
製品を使用した開発方法について説明します。
AppScan® Source for Analysis および障害追跡
AppScan® Source for Analysisは障害追跡システムIBM® Rational Team Concert™と統合されているため、確認されたソフトウェアの脆弱性を開発者のデスクトップに直接送信できます。障害追跡システムに送信される障害には、バグに関する説明文と、障害とともに送信される検出結果のみが記載されているファイルが含まれています。
Rational Team Concert™ と AppScan® Source for Analysis の統合
Rational Team Concert™ と AppScan® Source for Analysis を統合する場合、追加の Rational Team Concert クライアントをコンピューターにインストールする必要はありません。
Rational Team Concert™ の SSL 証明書
Rational Team Concert™ サーバーのインストール時に、有効な SSL 証明書を使用するように構成する必要があります。この構成を行わないと、(設定の構成時や障害の送信時に) サーバーにログインするときに、信頼できない接続についてのメッセージを受け取ります。このトピックでは、Rational Team Concert SSL 証明書の考慮事項について簡単に説明します。

開発
製品を使用した開発方法について説明します。
- ソース・コードのスキャンおよび評価の管理
  このセクションでは、ソース・コードのスキャン方法および評価の管理方法について説明します。
- トリアージおよび分析
  類似した検出結果をグループ化することにより、セキュリティー・アナリストや IT 監査員はソース・コードの問題をセグメント化し、トリアージできます。このセクションでは、AppScan® ソース評価のトリアージを行い、結果を分析する方法について説明します。
- AppScan® ソーストレース
  AppScan® ソーストレースを使用して、入力データの検証およびエンコードが自社のソフトウェア・セキュリティー・ポリシーに沿うものであることを確認できます。入出力トレース・データの生成元になる検出結果を調べて、メソッドを検証ルーチンおよびエンコード・ルーチン、ソースまたはシンク、コールバック、あるいは汚染伝播元としてマークすることができます。
- AppScan® Source for Analysis および障害追跡
  AppScan® Source for Analysisは障害追跡システムIBM® Rational Team Concert™と統合されているため、確認されたソフトウェアの脆弱性を開発者のデスクトップに直接送信できます。障害追跡システムに送信される障害には、バグに関する説明文と、障害とともに送信される検出結果のみが記載されているファイルが含まれています。
  - 設定による障害追跡の有効化
    「障害追跡システム」の設定では、障害追跡システムへの検出結果の送信を有効にすることと、障害の送信方法を指定することができます。
  - HP Quality Center と AppScan® Source for Analysis の統合
    HP Quality Center を AppScan® Source for Analysis と統合するには、Quality Center クライアントをローカル・コンピューターにインストールする必要があります。Quality Center クライアント・アプリケーションは、Quality Center のブラウザー・ベースのクライアント・インターフェースから Quality Center に初めてログインするときに、ローカル・コンピューターにダウンロードされてインストールされます。
  - Rational® ClearQuest® と AppScan® Source for Analysis の統合
    Rational® ClearQuest® を AppScan® Source for Analysis と統合するには、Rational ClearQuest クライアントをローカル・コンピューターにインストールする必要があります。このインストールには、CQPerl 実行可能ファイルが含まれます。この実行可能ファイルのロケーションは、AppScan Source for Analysis Rational ClearQuest の設定で構成する必要があります。
  - Rational Team Concert™ と AppScan® Source for Analysis の統合
    Rational Team Concert™ と AppScan® Source for Analysis を統合する場合、追加の Rational Team Concert クライアントをコンピューターにインストールする必要はありません。
    - Rational Team Concert™ への障害の送信
      1 つ以上の検出結果が含まれているバンドルを Rational Team Concert™ に送信するか、または個々の検出結果を送信することができます。検出結果を AppScan® Source for Analysis から Rational Team Concert に初めて送信する場合には、ユーザー名とパスワードを入力してログインする必要があります。送信時に使用される事前設定フィールド値は、Rational Team Concert の設定で構成できます。
    - Rational Team Concert™ の SSL 証明書
      Rational Team Concert™ サーバーのインストール時に、有効な SSL 証明書を使用するように構成する必要があります。この構成を行わないと、(設定の構成時や障害の送信時に) サーバーにログインするときに、信頼できない接続についてのメッセージを受け取ります。このトピックでは、Rational Team Concert SSL 証明書の考慮事項について簡単に説明します。
  - Microsoft™Team Foundation Server と AppScan® Source for Analysis の統合
    Team Foundation Server を AppScan® Source for Analysis と統合するには、Microsoft™ Visual Studio Team Explorer クライアントをローカル・コンピューターにインストールする必要があります。
  - 送信した障害の処理
    少なくない件数の検出結果を個別の障害として送信しても、そのプロセスはバックグラウンドで実行されるため、トリアージ・プロセスを継続できます。障害の送信後、障害システムから受信した障害 ID が、関連する検出結果に追加され、その検出結果とともに保持されます。障害追跡システムに送信した障害を操作するには、このトピックで説明する手順を実行します。
  - バンドルの障害追跡への送信および E メールによる送信
    バンドルに含まれる検出結果は、自社で使用している障害追跡システムに送信できます。または、E メールで送信することもできます。バンドルに検出結果を含めた後、開発者が修復できるよう、それらの検出結果をバグとして送信できます。
  - E メールによる障害の追跡 (E メールによる検出結果の送信)
- 検出結果レポートと監査レポート
  セキュリティー・アナリストおよびリスク・マネージャーは、選択された検出結果のレポート、またはソフトウェア・セキュリティーのベスト・プラクティスおよび法的要件へのコンプライアンスを測定するための一連の監査レポートにアクセスできます。このセクションでは、集約された検出結果データのレポートを作成する方法について説明します。
- カスタム・レポートの作成
  レポート・エディター内で、カスタム・レポートの生成に使用するレポート・テンプレートを作成します。

Rational Team Concert™ の SSL 証明書

Rational Team Concert™ サーバーのインストール時に、有効な SSL 証明書を使用するように構成する必要があります。この構成を行わないと、(設定の構成時や障害の送信時に) サーバーにログインするときに、信頼できない接続についてのメッセージを受け取ります。このトピックでは、Rational Team Concert™ SSL 証明書の考慮事項について簡単に説明します。

SSL 証明書の保管場所

永続的に受け入れられた証明書は、<user_home>/.jazzcerts (<user_home> はオペレーティング・システム・ホーム・ディレクトリーです (例えば、Windows™ の場合、ディレクトリーは C:\Documents and Settings\Administrator\ になることがあります)) に保管されます。<user_home>/.jazzcerts を削除すると、AppScan® ソースおよび Rational Team Concert™ クライアント用に保管されているすべての証明書が削除されます。

Rational Team Concert™ クライアントと共有される SSL 証明書

AppScan® ソースは、その証明書ストアを Rational Team Concert™ クライアントと共有します。Rational Team Concert™ クライアントを使用して証明書を永続的に受け入れると、その証明書は AppScan® ソースによって再使用されます (AppScan® ソースで証明書の受け入れを要求するプロンプトが表示されなくなります)。同様に、AppScan® ソースで証明書を永続的に受け入れると、その証明書が Rational Team Concert™ クライアントによって再使用されます。