运行多资产扫描
本指南将引导您创建多资产扫描。多资产扫描可将多个资产（如移动应用、Web 应用、网络范围、代码仓库和文件）合并到一次扫描中，共享同一套设置并生成一份合并报告。
如需了解多资产扫描的工作原理及适用场景，请参阅多资产扫描配置文件。如需查看可添加资产的完整列表，请参阅支持的资产类型。
创建多资产扫描
步骤 1：选择主资产
- 点击顶部栏中的 New Scan。
- （可选）为您的扫描填写一个描述性标题。
- 选择主资产的类型并进行配置，然后点击 Continue。例如，选择 PlayStore 并搜索该应用。
步骤 2：添加您的资产
Extra Context 步骤用于添加扫描的其他资产。对于单资产扫描，该步骤为可选项；如需运行多资产扫描，请在此至少添加一个资产。
-
点击 Add asset。
-
在 Add Asset 对话框中选择资产类型。可使用 All、Mobile、Web、Network 和 Code 选项卡筛选列表。当主资产为移动应用时，列表中不会显示移动资产类型，因为一次扫描最多只能包含一个移动应用。Documentation 用于添加文档页面 URL，帮助智能体理解您的应用。
-
配置该资产，然后点击 Add。
- 对需要纳入扫描的每个资产重复以上操作。
选择 Repository Archive 后，您可以通过上传压缩包来扫描源代码，无需连接 Git 提供方，也无需授予 Ostorlab 访问仓库的权限。
步骤 3：选择扫描配置文件
在 Extra Context 中添加资产后，Multi Asset Deep Agentic Scan 配置文件会出现在列表中。选择该配置文件。这是一种由 AI 驱动的智能体扫描，能够发现复杂的逻辑缺陷，将跨多个资产的漏洞串联起来，并通过概念验证（PoC）漏洞利用来验证发现。
点击 Continue，然后检查 Guardrails：选择 AI 智能体是自行执行有风险的操作，还是先征求您的同意；还可以根据需要设置漏洞范围、屏蔽的 IP 和附加指令。点击 Continue。
步骤 4：选择 AI 提供方
选择为扫描的 AI 分析提供支持的方式：
- Cybermodels：使用 Cybermodels 令牌运行扫描，无需 API 密钥。此处会显示您的可用余额，以及一个 Provision Tokens 按钮。
- BYOK Simple 或 BYOK Advanced：使用您自己的 API 密钥运行扫描。
更多详情请参阅生成 BYOK 扫描密钥和 Cyber Models 概述。
步骤 5：选择投入级别
投入级别决定了扫描分析资产的深度。投入越高，覆盖的风险越多，但消耗的令牌也越多。
| 投入级别 | 令牌 | 相当于渗透测试 |
|---|---|---|
| Core | 50 | 约 1 周 |
| Advanced | 200 | 约 2-4 周 |
| Elite | 400 | 约 4-8 周 |
渗透测试等效时间估算一名渗透测试人员评估所选投入级别涵盖的风险所需的时间。
如果某个投入级别的费用超出您的可用令牌余额，该级别将被禁用，界面会显示 Insufficient Balance 消息。请在 AI 提供方步骤中使用 Provision Tokens 添加更多令牌。
步骤 6：配置可选步骤
其余步骤均为可选。您可以进行配置，也可以点击 Continue 跳过。
Prompts
添加用于引导扫描行为的指令。有关如何撰写有效提示词的指导，请参阅 AI Pentest 提示词指南。
Test Credentials
选择预定义的测试凭据或添加新凭据，以提高动态分析的覆盖率。凭据也可以在 Test Credentials 菜单中管理。
点击 Test Credentials 会显示支持的身份验证类型：
- Login & Password：使用用户名和密码组合进行身份验证。
- Custom Credentials：在测试过程中按语义匹配的键值对。
- 2FA SMS、2FA Email、2FA TOTP、2FA Manual：双因素身份验证处理方式。请参阅经过身份验证扫描的 2FA。
- Basic Authentication：HTTP 基本身份验证方案。
- Script：用于复杂身份验证流程的自定义 Puppeteer 脚本。
- Certificate：用于双向 TLS 的 TLS/SSL 客户端证书。
- HTTP Headers：用于身份验证的自定义请求头，API 中较为常用。
Advanced Settings
Advanced Settings 支持：
- 限制请求速率（QPS）。
- 设置 Proxy。
- 将待扫描 URL 加入白名单，每行填写一条正则表达式。
步骤 7：启动扫描
点击右侧面板中的 Start scan 启动扫描。扫描完成后，所有资产的发现会一并显示在一份报告中，并分别标注其严重程度、受影响资产和修复建议。
示例：一款移动应用、其 API 及其代码
本示例围绕一款银行应用及其背后的系统确定一次扫描的范围。所有名称均为占位符：
- 发布在 Play Store 上的 Android 应用
com.example.bank。 - 该应用调用的 Web API
https://api.example.com。 - 该应用及其后端的源代码，以代码仓库归档文件的形式提供。
- 描述
https://api.example.com的 OpenAPI 模式。
在步骤 1 中将该应用选为主资产，然后在步骤 2 中添加其余资产：
| 资产 | 添加位置 | 提供的内容 |
|---|---|---|
com.example.bank (PlayStore) |
主资产（步骤 1） | 要测试的客户端。 |
https://api.example.com (Web App) |
Web 选项卡 | 该应用与之通信的后端和 API。 |
| 源代码 (Repository Archive) | Code 选项卡 | 来自上传归档文件的该应用及其后端的代码。 |
| OpenAPI 模式 (File) | Add Asset 对话框 | 有助于扫描反映系统实际构建和部署方式的辅助文件，例如 API 模式、脚本和配置。 |
要在应用商店中找到该应用，请使用其 name 或 package name 进行搜索。如果该应用仅在特定国家/地区提供，请在 Country 菜单中选择该国家/地区。
如果代码位于已连接的 Git 提供方中，请添加 Code Repository 资产来代替归档文件。这需要已配置的源代码集成；请参阅源代码扫描。
凭据。 您在 Test Credentials 中选择的凭据会应用于扫描中的所有资产。在本示例中，为该应用的测试账户添加一个 Login & Password 凭据；如果 https://api.example.com 需要 API 密钥请求头，再添加一个 HTTP Headers 凭据。另请参阅经过身份验证的 Web 扫描。
范围。 范围就是您添加的资产集合：至少一个资产，且最多一个移动应用。要限制测试的 URL，请在 Advanced Settings 中添加正则表达式 https://api\.example\.com。
上下文。 File 资产用于提供 OpenAPI 模式；脚本和配置也以同样的方式添加。Repository Archive 接受 .zip、.tar.gz、.tgz 或 .7z 归档文件。SBOM 文件和锁文件不是资产：请在 使用 SBOM 或 Lockfile 的扫描 中上传。使用 Prompts 让扫描聚焦重点，例如使用 AI Pentest 提示词指南中的 API 安全评估模板。
关联的发现。 应用、其 API 及其源代码的发现都会显示在步骤 7 所述的同一份报告中。Multi Asset Deep Agentic Scan 配置文件会跨这些资产串联漏洞（例如从应用到它调用的 API），因此漏洞链及其关联的发现都保留在同一份报告中。请参阅多资产扫描配置文件。
常见问题
一次多资产扫描可以包含多少个资产？
一次扫描最多只能包含一个移动应用。Web 应用、网络范围、代码仓库、压缩包和文件则可不限数量地添加。
所有资产是否共享相同的扫描设置？
是的。扫描配置文件、AI 提供方、投入级别、测试凭据、提示词只需为该扫描配置一次，即可应用于其中包含的所有资产。
我需要授予 Ostorlab 访问我的仓库的权限吗？
不需要。您可以根据需要连接 Git 提供方，但也可以添加 Repository Archive 资产并上传 .zip、.tar.gz、.tgz 或 .7z 压缩包，无需授予任何访问权限即可扫描代码。
为什么要将多个资产一起扫描，而不是分开扫描？
现代应用横跨移动客户端、Web 后端、基础设施和源代码。将它们一起扫描，可以让扫描在资产之间串联漏洞，并将相关发现集中在同一份报告中。请参阅多资产扫描配置文件。