「権限拡張」ビュー

「構成」ダイアログ・ボックスの「権限拡張」ビューでは、異なるユーザー・レベルの結果を比較できます。

このタスクについて

AppScanは、アクセス許可が不十分なユーザーがアクセス可能な特権リソースの範囲を調査するために、異なるユーザー権限を使用して実行されたスキャンを参照できます。これは以下の 2 とおりの方法で実行できます。

上位権限ユーザーとの比較によって: AppScan が現在のスキャンよりもより高いレベルのアクセス許可を使用して生成されたスキャン結果を参照するようにします。スキャン中に、AppScan は上位レベルのユーザーがアクセス可能であった追加のリンクに、現在の (下位レベルの) アクセス許可を使用してアクセスしようとします。スキャン結果は、これらの試行が成功した箇所を示します。
未認証ユーザーとの比較によって: AppScan が、ユーザー認証なしで生成されたスキャン結果を参照するようにします。次に AppScan は、現在の認証を使用してスキャンを実行し、アクセスした新規リンクを記録します。それからログアウトし、それらの新規リンクに認証なしで アクセスを試みます。スキャン結果は、これらの試行が成功した箇所を示します。

重要: 比較対象となるスキャンは、スキャン構成が同じであり、同等の探査データを持っている必要があります。例えば、スキャンの 1 つにおいてテスト前にサイトが手動で探査された場合は、そのスキャンと比較されるスキャンでテスト・ステージの前に同じマニュアル探査を実行する必要があります。

手順

(上位権限ユーザーと比較する場合:) 上部領域 (「上位権限ユーザーによるテスト」) で、をクリックし、現在のスキャンよりも高いアクセス許可で実行されたスキャンを参照します。
「開く」をクリックします。
スキャンで使用された認証レベルを表す名前を入力し (例えば「ゲスト」や「管理者」)、「OK」をクリックします。

選択されたスキャンはリストに追加され、その役割 (管理者、オペレーター、ビジターなど) は左列に表示されます。
必要に応じて、これらのステップを繰り返して、異なる認証レベルのスキャンを追加します。

注: 上位権限ユーザーによるテストに対しては複数のスキャンを、各役割に対しては 1 つのスキャンを追加できます。例えば、現在のスキャンが通常ユーザーのユーザー名とパスワードを使用して構成されている場合、管理者許可で実行されたものと、スーパーバイザー許可で実行されたものという、2 つのスキャンをこのリストに追加できます。結果により、どのユーザーのリソースが通常ユーザーにアクセス可能であったかが分かります。
(未認証ユーザーと比較する場合:) オプションで、認証なしのスキャン実行の結果をロードすることもできます。これを実行するには、下部の領域でをクリックし、スキャン結果を参照します。