認証済みWebスキャン

このガイドでは、Ostorlabを使用して認証済みWebスキャンを実行する手順を順を追って説明します。

1. 左側のメニューアイコンをクリックします

2. メニューの「Scanning」セクションに移動します

Navigate to the 'Scanning' section in the menu

3. 「New Scan」オプションをクリックします

Click on the 'New Scan' option

4. 「Web App」をクリックします

利用可能なスキャンタイプから「Web App」オプションを選択します。

Click 'Web App'

5. 「Continue」をクリックします

Click 'Continue'

6. ターゲットURLまたはドメインを指定します

ターゲットURLまたはドメインを指定します。新しい行にそれぞれ入力することで、複数のURLまたはドメインを入力できます。

Specify the target URLs or domains

7. 「Continue」をクリックします

Click 'Continue'

8. 「Full Web Scan」オプションを選択します

Select the 'Full Web Scan' option

9. 「Continue」をクリックします

Click 'Continue'

10. オプションで高度なスキャン設定を構成します

このセクションでは、1秒あたりの最大クエリ数を設定するQPSなど、オプションの高度なスキャン設定を構成できます。プロキシとURLフィルターの正規表現を設定できます。

Optionally configure advanced scan settings

11. 「Continue」をクリックします

「Continue」ボタンをクリックして、スキャン認証情報（test credentials）の設定に進みます。

Click 'Continue'

12. 1つ以上の事前定義されたテスト認証情報を選択します

このステップでは、1つ以上の事前定義されたテスト認証情報を選択するか、新しい認証情報を追加できます。テスト認証情報を使用すると、動的分析のカバレッジが広がります。

Select one or more predefined test credentials

13. 「Test Credentials」をクリックします

「Test Credentials」ボタンをクリックして、テスト認証情報を直接追加することもできます。

Click 'Test Credentials'

14. テスト認証情報を追加する

サポートされているタイプは次のとおりです。

Login & Password
Basic Authentication
Email
Credit card
Phone Number
Address
Certificates
Script: Puppeteerスクリプトをアップロードできます。これは、複雑な認証フローやチェックアウトなどの複雑なインタラクションを有効にするのに非常に役立ちます。
Custom credentials: ユーザー名、パスワード、ドメイン名などのカスタムフォームフィールド用です。
HTTP Header: Authorization、User-Agentなどのヘッダーを提供できます。

たとえば、「Login & Password」を追加するには、テスト認証情報メニューから「Login & Password」オプションを選択します。

Click 'Login & Password'

ログイン、パスワード、URLを入力します

ログイン、パスワード、URLを入力します。Submitをクリックすると、テスト認証情報がスキャンに追加されます。

Enter the login, password, and URL

15. カスタムUser-Agentの提供

HTTP User-Agentリクエストヘッダーにより、サーバーはリクエストを行っているユーザーエージェントのアプリケーション、ベンダー、および/またはバージョンを識別できます。

OstorlabはWebアプリケーションをスキャンする際にユーザーエージェントを使用します。ただし、ユーザーはスキャン中に使用する独自のユーザーエージェントを提供したい場合があります。これを行うには、単にHTTP Headerのテスト認証情報を追加します。

オプションで、このテスト認証情報を簡単に識別するための_ラベル_（例：「カスタムユーザーエージェント」）を入力します。
name フィールドに、User-Agent と入力します。
value フィールドに、任意のユーザーエージェントを入力します（例：Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2704.103 Safari/537.36）。

Provide a custom user agent

認証されたWebスキャンを実行する際、「Set scan credentials」ステップでこのテスト認証情報を選択すると、Webアプリケーションはカスタムユーザーエージェントを使用してスキャンされます。

16. 「Submit」をクリックします

「Submit」ボタンをクリックしてスキャンを作成します。

Click 'Submit'

17. 「Show」をクリックします

Webスキャンが作成されます。アラートの「Show」をクリックして、スキャンのリストに移動できます。

Click 'Show'

このガイドでは、Ostorlabを使用して認証済みWebスキャンを実行する方法を学習しました。手順では、スキャン設定の構成、URLとドメインの追加、およびログイン認証情報を使用した認証について説明しました。これらの手順に従うことで、アプリケーションの徹底的かつ安全なWebスキャンを確実に行うことができます。