Web API 自動スキャン・ワークフロー

Web API の自動スキャンの簡単なワークフローを説明します。

AppScan は、ご使用の Web API を総合的に評価します。無許可アクセスやコード・インジェクションだけでなく、すべてのレベルの標準的なユーザー手法に基づく多数のテストも実行します。

ご使用のアプリケーションに対してスキャンを実行すると、AppScan によって各種テストがご使用の Web API に送信されます。テストの結果は、AppScan のサイトを認識するスマート・エンジンによって作成され、強化されたレビューと操作で使用できる拡張性のあるレポートおよび推奨される修正も提供されます。

AppScan は対話式ツールです。このツールを使用して、スキャンの構成と結果に対する対応を決定します。

Web API 自動スキャン・ワークフロー

ワークフローの説明

  1. スキャン構成: サイトの詳細、ご使用の環境、および他の要件を考慮し、「構成」 > 「API 必需」によってスキャンを構成します。
    1. Postman コレクション・パスのアップロード:
      1. Postman コレクションのアップロード: Postman コレクションをインポートします。
      2. テスト・ポリシーの確認: 必要に応じてテスト・ポリシーを変更します。
    2. OpenAPI 記述ファイル・パスのアップロード:
      1. OpenAPI 記述ファイルのアップロード: API の OpenAPI 記述ファイルをアップロードします。
      2. API キーの構成: 認証用の API キーを設定します。
      3. (オプション) テスト・ポリシーの確認: テスト・ポリシー設定を調整します。

  2. フル・スキャンの開始: フル・スキャンを開始します。

  3. 自動スキャンは、探査とテストの各ステージで構成されています。
    1. 探査のステージ: AppScan は、すべての要求とパラメーターを調べて Web API をクロールし、それらを記録します。Web API 上で検出された、これらの要求とパラメーターの階層を作成します。このリストは、アプリケーション・ツリー (アプリケーション・ツリーを参照) に、表示されます。
      注: 探査ステージは、自動または手動、あるいはこの両方を組み合わせて実行できます。また、前に記録されたマニュアル探査シーケンスから構成される探査データ・ファイル (マニュアル探査データをエクスポートするを参照) をインポートすることもできます。次に、AppScan は、サイトから収集したデータを分析し、それに基づいて API のテストを作成します。これらのテストは、インフラストラクチャーの弱点 (市販のサード・パーティー製品またはインターネット・システムでのセキュリティー上の弱点など) とアプリケーション自体の弱点の両方を明らかにするために設計されています。

    2. テスト・ステージ: テスト・ステージ中に、AppScan は、脆弱性を明らかにし、その重大度を評価するために、探査ステージ中に受信した応答に基づいてアプリケーションをテストします。

      ご使用の AppScan の現行バージョンに組み込まれたすべてのテストの最新のリストは、「スキャン構成」ダイアログ・ボックスで確認できます (テスト・ポリシーと最適化を参照)。

      AppScan で自動的に作成および実行されるテストのほかに、ユーザー定義テストを作成することもできます (ユーザー定義テストを参照)。作成したテストにより、AppScan によって生成されたテストを補完でき、検出された結果を検証できます。

      テスト結果は「結果リスト」に表示され、そこでテスト結果を表示および変更できます。結果の完全な詳細は、 「詳細ペイン」内に表示されます。

  4. スキャン後のアクティビティー:

    1. 結果の確認: スキャン検出結果を分析し、結果の確認に基づき必要に応じて、スキャン構成を調整し、再度スキャンします。

    2. 推奨される修正の確認: 特定された脆弱性に対処するために提案された修正を評価して適用します。
    3. 手動での要求の探査: さらなる調査が必要な要求があれば、手動でチェックします。
    4. レポートの生成: スキャン結果に基づいて詳細なレポートを作成します。
注: AppScan は、マニュアル探査と記録されたトラフィックのインポートの両方を自動スキャン機能とともにサポートし、包括的なセキュリティー評価アプローチを実現します。