コンテンツにスキップ

認証済みWebスキャン

このガイドでは、Ostorlabを使用して認証済みWebスキャンを実行する手順を順を追って説明します。

1. 「New Scan」をクリックします

上部バーの「New Scan」アイコンをクリックします。

「New Scan」をクリック

2. 「Web App」をクリックします

利用可能なアセットタイプから「Web App」オプションを選択します。

「Web App」をクリック

3. ターゲットURLまたはドメインを指定します

スキャンするURLまたはドメインを1行に1つずつ入力し、「Continue」をクリックします。続く「Extra Context」ステップは任意です。スキップするには、もう一度「Continue」をクリックします。

ターゲットURLまたはドメインを指定

4. 「Full Web Scan」オプションを選択します

「Full Web Scan」プロファイルを選択し、「Continue」をクリックします。鍵アイコンと「Unlock Profile」ボタンが表示されているプロファイルは、組織のプランに含まれていません。「Unlock Profile」をクリックするとプランページが開きます。

「Full Web Scan」オプションを選択

5. テスト認証情報を選択または追加します

「Test Credentials」ステップでは、1つ以上の事前定義されたテスト認証情報を選択するか、新しい認証情報を追加できます。テスト認証情報を使用すると、動的分析のカバレッジが広がります。新しい認証情報を追加するには、「+ Test Credentials」をクリックします。

「+ Test Credentials」をクリック

6. テスト認証情報を追加します

サポートされているタイプは次のとおりです。

  • Login & Password: ユーザー名とパスワードの組み合わせです。
  • Custom Credentials: ユーザー名、パスワード、ドメイン名などのカスタムフォームフィールド用の、任意のキーと値のペアです。テスト中に意味に基づいて照合されます。
  • 2FA SMS、2FA Email、2FA TOTP、2FA Manual: 二要素認証です。認証済みスキャンの2FAを参照してください。
  • Basic Authentication: HTTP Basic認証方式です。
  • Script: Puppeteerスクリプトをアップロードできます。これは、複雑な認証フローやチェックアウトなどの複雑なインタラクションを有効にするのに非常に役立ちます。
  • Certificate: TLSクライアント証明書です。
  • HTTP Headers: Authorization、User-Agentなどのヘッダーを提供できます。

テスト認証情報のタイプ

たとえば、「Login & Password」を追加するには、テスト認証情報メニューから「Login & Password」オプションを選択します。

「Login & Password」をクリック

ログイン、パスワード、URLを入力します

ログイン、パスワード、ログインページのURLを入力します。ラベルとロールは任意です。Start scanをクリックすると、テスト認証情報が保存され、スキャンに追加されます。

ログイン、パスワード、URLを入力

7. カスタムUser-Agentの提供

HTTP User-Agentリクエストヘッダーにより、サーバーはリクエストを行っているユーザーエージェントのアプリケーション、ベンダー、および/またはバージョンを識別できます。

OstorlabはWebアプリケーションをスキャンする際にユーザーエージェントを使用します。ただし、ユーザーはスキャン中に使用する独自のユーザーエージェントを提供したい場合があります。これを行うには、単にHTTP Headerのテスト認証情報を追加します。

  1. オプションで、このテスト認証情報を簡単に識別するための_ラベル_（例：「カスタムユーザーエージェント」）を入力します。
  2. name フィールドに、User-Agent と入力します。
  3. value フィールドに、任意のユーザーエージェントを入力します（例：Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2704.103 Safari/537.36）。

Provide a custom user agent

認証されたWebスキャンを実行する際、「Set scan credentials」ステップでこのテスト認証情報を選択すると、Webアプリケーションはカスタムユーザーエージェントを使用してスキャンされます。

8. 必要に応じてその他のステップを構成します

「SBOM Files」、「Advanced Settings」、「Custom Checks」、「Tags」の各ステップは任意です。高度な設定には、QPS（1秒あたりの最大クエリ数）、プロキシ、URLフィルターの正規表現が含まれます。

9. 「Start scan」をクリックします

「Start scan」ボタンをクリックしてスキャンを作成します。

「Start scan」をクリック

10. スキャンを開きます

スキャンのページが開き、「Scan created」というメッセージが表示されます。スキャンの状況を確認するには、トップバーの「Scans」アイコンをクリックします。スキャンはスキャン一覧の表に表示され、まずキューに入り、その後実行されます。

スキャン一覧に表示されたスキャン

このガイドでは、Ostorlabを使用して認証済みWebスキャンを実行する方法を学習しました。手順では、スキャン設定の構成、URLとドメインの追加、およびログイン認証情報を使用した認証について説明しました。これらの手順に従うことで、アプリケーションの徹底的かつ安全なWebスキャンを確実に行うことができます。