よくある質問

このトピックでは、一般的なアプリケーションについての質問を扱います。

内容

Web API のスキャンに使用できるオプション

マニュアル探査とマルチステップ操作の差異

アクション・ベースの再生と要求ベースの再生の差異

Web サービス、厳選テスト、および開発者必需テストのテスト・ポリシーが削除された場合に置き換えることができるテスト・ポリシー

スキャン・ファイルのサイズを減らす方法

古いユーザー・インターフェースを開く方法

一部の問題に情報が欠落していますか?

GraphQL Web API のスキャンに使用できるオプション

Web API のスキャンに使用できるオプション

サイトのスキャンは、最初に探査が行われ、次に収集されたデータに基づくテストが行われて実施されます。「探査データ」は、1 つ以上の探査方法を使用して収集することができます。どのケースでも、探査データが収集されると、AppScan を使用してテストが作成され、テスト・ステージ中にサイトに送信されます。

Web アプリケーションの探査 (ユーザー・インターフェースのあるサイト)

多くのアプリケーションでは、AppScan がサイトをテストできるようにするために、開始 URL と認証の資格情報を提供するだけで十分です。
マニュアル探査: 必要な場合は、特定のユーザー入力によってのみ到達可能な領域にアクセスできるようにするために、AppScan を介して サイトを手動で探査することができます。
マルチステップ操作: 特定の順序で他のページに最初にアクセスすることでのみ到達可能なページの場合、AppScan のマルチステップ操作を記録して使用することができます。

構成ウィザードではいくつかの手順でスキャンを構成して開始できますが、複雑なサイトの場合は、「構成」ダイアログ・ボックスでさらに多くの設定を微調整およびカスタマイズできます。

Web API の探査

AppScan には、これを行う方法が 3 つあります。

サービスの探査に使用するデバイス (携帯電話やシミュレーターなど) の記録プロキシーとして AppScan を設定できます。そうすることで、AppScan は収集された探査データを分析し、適切なテストを送信することができます。AppScan を使用して、Web API 機能テスターなどの外部ツールでトラフィックを記録することもできます。外部クライアントの使用を参照してください。
DevOps の一部として要求の Postman コレクションを API に事前に記録した場合は、それをインポートしてスキャンの探査のステージとして使用できます。 AppScan は、コレクションを分析して使用し、サイトをテストします。Postman コレクションを使用したスキャンを参照してください。
Web サービス用の Open API 記述ファイル (JSON または YAML) がある場合、Web API ウィザードの拡張機能を使用してスキャン、およびサービスの使用に必要なマルチステップ・シーケンスを構成できます。AppScan は、サービスを自動的にスキャンします。

いずれの場合も、AppScan に探査データを指定すると、自動的にサイトをテストし、スキャン結果を提示してレビューおよびトリアージできます。

マニュアル探査とマルチステップ操作の差異

マニュアル探査

マニュアル探査は、AppScan がサイトをテストするときに自動探査ステージが行われていない可能性があるアプリケーションまたはサービスの一部が確実にカバーされるようにするために、ユーザーがサイトを探査して AppScan が使用できるデータを収集する場合に行います。これは、特定のユーザー入力が必要である、またはサイトが別のタイプのツールやデバイスに対してのみ応答するなどの理由で行われます。マニュアル探査は、AppScan を使用するか、AppScan を記録プロキシーとして使用して、行うことができます。

マニュアル探査を参照してください。

マルチステップ操作

ユーザーが品目をカートに追加し、まだ支払いを行っていないオンライン・ショップなど、リンクを特定の順序で クリックすることによってのみ到達できるサイトの部分を探査するには、マルチステップ操作が必要です。以下の 3 つのページについて考えます。

ユーザーがショッピング・カートに 1 つ以上の品物を追加します
ユーザーが支払いと配送方法の詳細を入力します
ユーザーが、この注文が完了した確認を受け取ります

ページ 2 へは、ページ 1 を経由したときのみ到達できます。ページ 3 へは、ページ 1 に続いてページ 2 を経由したときのみ到達できます。これがシーケンスです。ページ 2 とページ 3 をテストできるようにするには、AppScan® が各テストの前に HTTP 要求の正しいシーケンスを送信する必要があります。

『マルチステップ操作』を参照してください。

アクション・ベースの再生と要求ベースの再生の差異

ログイン操作やマルチステップ操作で使用するために手順を記録する場合、以下の 2 つの再生方法が使用可能です。

要求ベースの再生: 生の HTTP 要求を記録から送信します。一般的に早いのはこちらの方法です。
アクション・ベースの再生: ユーザーのクリックおよびキー・ストロークを再生します。この方法を選択するのは、サイトに大量の JavaScript が含まれている場合や、要求ベースの再生に含まれている要求を検証した際に、その一部に赤色の X でマークが付けられた場合などです。この方法では、スキャン時間が長くなる可能性があります。

「構成」 > 「探査」 > 「」、および「構成」 > 「」を参照してください。ログイン再生マルチステップ操作

Web サービス、厳選テスト、および開発者必需テストのテスト・ポリシーが削除された場合に置き換えることができるテスト・ポリシー

バージョン 10.0.5 では、今後のリリースで 3 つのテスト・ポリシーを削除する予定があることが発表されました。以下の方法でも、同様の結果が得られます。これらのポリシーを使用する場合は、提案されている代替手段を使用することが勧められています。


現在のポリシー	提案されている代替手段
Web サービス	デフォルト「デフォルト」テスト・ポリシーは Web サービスをカバーするようになっているため、別のポリシーは必要ありません。
厳選テスト	デフォルト「デフォルト」ポリシーは、最も高速の「テストの最適化」設定とともに使用します。
開発者必需テスト	アプリケーションのみ「アプリケーションのみ」ポリシーは、より高速の「テストの最適化」設定のいずれかとともに使用します。

スキャン・ファイルのサイズを減らす方法

スキャン・ファイルが大きく、何らかの理由でファイル・サイズを削減する必要がある場合は、SCAN ファイル内のデータベースのサイズを削減する compact_scan コマンドを使用できます。コマンド・プロンプトで次のように入力します。

AppScanCmd.exe compact_scan /b <full path to base scan file> /d <full path to destination file>

古いユーザー・インターフェースを開く方法

バージョン 10.0.7 で改善されて導入された新しいユーザー・インターフェース (UI) を使用することをお勧めします。古い UI を使用して AppScan Standard を開く必要がある場合は、AppScan Standard インストール・フォルダーを開き、AppScan.exe を見つけてダブルクリックします。

デフォルトの場所は次のとおりです。

C:\Program Files (x86)\HCL\AppScan Standard\AppScan.exe

注: 古い UI で開くバージョンは、10.0.7 以降更新されていません。

注: 古い UI は、次のリリースですべて削除されます。

一部の問題に情報が欠落していますか?

特定の問題に関する情報が「問題」ペインに見つからないと思われる場合は、「編集」> 「問題情報の生成」をクリックして更新してみてください。

ログイン・ポップアップが多すぎる

ログイン方法として「プロンプト」を選択した場合、スキャン中に管理するログイン・プロンプトが多すぎる可能性があります。

この問題を解決するには、「構成」>「テスト・オプション」ビューに移動し、「ログアウト・ページでテストを送信」チェック・ボックスをクリアします。

GraphQL Web API のスキャンに使用できるオプション

Web API プリセットを使用します (「構成プリセット」を参照)。
GraphQL テンプレートを (事前定義されたテンプレート・フォルダーから) ロードし、独自の Postman コレクションをインポートします。
GraphQL テンプレートを (事前定義されたテンプレート・フォルダーから) ロードし、独自のトラフィック・ファイルをインポートします。