はじめに
概要
Ostorlabは、モバイルアプリケーション、Webアプリケーション、およびアタックサーフェス検出のためのセキュリティとプライバシーのスキャナーです。
3つの主なステップ
インフラストラクチャと外部アセットの検出と管理: 相関関係を検出し、存在すら知らなかった他のアセットを見つけます。
モバイル、Web、およびネットワークアセットのスキャン: Ostorlabは、AndroidおよびiOSプラットフォーム、WebおよびWeb API、ネットワークスキャンをカバーしています。500を超える脆弱性のクラスと、100,000の古くて脆弱な依存関係を特定できます。 静的、動的、および振る舞い分析を使用して、アプリケーションのアタックサーフェスの高いカバレッジを確保し、誤検知を低く抑えるために検出結果を検証します。
修復: すべての脆弱性はチケットに集約され、プラットフォーム上の開発者に割り当てたり、社内のチケット管理システムと統合したりできます。 脆弱性を修正し、Ostorlabに修正の検証と確認を任せることができます。
はじめに
-
こちらでメールアドレスとパスワードを使用してアカウントを作成します。
-
メインページはダッシュボード（Dashboard）です。ダッシュボードは Cockpit から始まり、今日対応が必要な内容を表示します：
- 深刻度別のオープン中のチケット、修復期限（SLO）を過ぎたチケット、昨日からの変化、および修正された内容。
- Next actions: 深刻度とSLOに基づいて順位付けされた、最初に取り組むべきチケット。
- Scan Activity: 最新のスキャン。
Actions には対応が必要なチケットが一覧表示され、Setup では次に設定すべき項目が提案されます。また、ウィジェットを使って独自のダッシュボードを作成することもできます。詳しくはダッシュボードを参照してください。
-
スキャンを開始するには、トップバーの New Scan をクリックし、アセットタイプを選択します。
-
ストアを検索するか、ファイルをアップロードするか、WebアプリケーションのURLまたはパブリックIPアドレスを入力して、アセットを選択します。
-
スキャンプロファイル（たとえば、モバイルアプリケーションの場合は Fast Scan または Full Scan、Webアプリケーションの場合は Full Web Scan）を選択し、Start scan をクリックしてスキャンを作成します。利用可能なプロファイルについては、スキャンプロファイルを参照してください。Extra Context、SBOM Files、Tags などの任意のステップはスキップできます。
-
スキャンの進捗状況は、トップバーのScansで確認できます。スキャンは最初にキューに入れられ、実行中になり、その後完了します：
-
スキャンの実行中から、すでにスキャン結果にアクセスし始めることができます。
-
検出結果をクリックすると、推奨事項、参考資料、および技術的な詳細を含む詳細なレポートにアクセスできます：
結果は、スキャンページのサイドバーにグループ化されています：
- Vulnerabilities: 実用的な検出結果をリストします。
- Tickets: スキャンされたアセットのすべてのチケットをリストします。前のスキャンに基づいてステータスが自動的に更新されます。
- Libraries & Dependencies: アプリケーションでフィンガープリントされたサードパーティライブラリとフレームワークをリストします。
- Standards: セキュリティ標準に照らして検出された問題をリストします。
Agentic Deep Scan では、Risks や Threat Intelligence などのセクションが追加されます。
PDF メニューからPDFレポートを生成することもできます。PDFの生成はバックグラウンドで実行され、レポートの準備ができると通知を受け取ります。
すべてのスキャンは、スキャンの種類に応じて異なるアーティファクトのセットを生成します。モバイルアプリケーションの場合は、スキャンページの Dynamic Analysis の下にある Call Coverage をクリックすると、アーティファクトを開くことができます。
