运行多资产扫描
本指南将引导您创建多资产扫描。多资产扫描可将多个资产（如移动应用、Web 应用、网络范围、代码仓库和文件）合并到一次扫描中，共享同一套设置并生成一份合并报告。
如需了解多资产扫描的工作原理及适用场景，请参阅多资产扫描配置文件。如需查看可添加资产的完整列表，请参阅支持的资产类型。
创建多资产扫描
步骤 1：选择 Multiple Assets 类型
- （可选）为您的扫描填写一个描述性标题。
- 选择 Multiple Assets，然后点击 Continue。
步骤 2：添加您的资产
Add Assets 步骤用于设定扫描范围。该步骤为必填项，扫描至少需要一个资产。
-
点击 Add Asset。
-
在 Add Asset 对话框中选择资产类型。可使用 All、Mobile、Web、Network 和 Code 选项卡筛选列表。
-
配置该资产，然后点击 Add。
- 对需要纳入扫描的每个资产重复以上操作。
选择 Repository Archive 后，您可以通过上传压缩包来扫描源代码，无需连接 Git 提供方，也无需授予 Ostorlab 访问仓库的权限。
步骤 3：选择扫描配置文件
选择 Multi Asset Deep Agentic Scan。这是一种由 AI 驱动的智能体扫描，能够发现复杂的逻辑缺陷，将跨多个资产的漏洞串联起来，并通过概念验证（PoC）漏洞利用来验证发现。
步骤 4：选择 AI 提供方
选择为扫描的 AI 分析提供支持的方式：
- Cybermodels：使用 Cybermodels 令牌运行扫描，无需 API 密钥。此处会显示您的可用余额，以及一个 Provision Tokens 按钮。
- BYOK Simple 或 BYOK Advanced：使用您自己的 API 密钥运行扫描。
更多详情请参阅生成 BYOK 扫描密钥和 Cyber Models 概述。
步骤 5：选择投入级别
投入级别决定了扫描分析资产的深度。投入越高，覆盖的风险越多，但消耗的令牌也越多。
| 投入级别 | 令牌 | 覆盖的风险 | 相当于渗透测试 |
|---|---|---|---|
| Core | 50 | 50 | 约 1 周 |
| Advanced | 200 | 200 | 约 2-4 周 |
| Elite | 400 | 400 | 约 4-8 周 |
如果某个投入级别的费用超出您的可用令牌余额，该级别将被禁用，界面会显示 Insufficient Balance 消息。请在 AI 提供方步骤中使用 Provision Tokens 添加更多令牌。
步骤 6：配置可选步骤
其余步骤均为可选。您可以进行配置，也可以点击 Continue 跳过。
Test Credentials
选择预定义的测试凭据或添加新凭据，以提高动态分析的覆盖率。凭据也可以在 Test Credentials 菜单中管理。
点击 Test Credentials 会显示支持的身份验证类型：
- Login & Password：使用用户名和密码组合进行身份验证。
- Custom Credentials：在测试过程中按语义匹配的键值对。
- 2FA SMS、2FA Email、2FA TOTP、2FA Manual：双因素身份验证处理方式。请参阅经过身份验证扫描的 2FA。
- Basic Authentication：HTTP 基本身份验证方案。
- Script：用于复杂身份验证流程的自定义 Puppeteer 脚本。
- Certificate：用于双向 TLS 的 TLS/SSL 客户端证书。
- HTTP Headers：用于身份验证的自定义请求头，API 中较为常用。
SBOM Files
上传 SBOM 或锁文件以扩展依赖项检测范围。界面中列出了支持的格式，涵盖 SPDX、CycloneDX 以及常见的锁文件。完整列表请参阅使用 SBOM 或 Lockfile 的扫描。
Prompts
添加用于引导扫描行为的指令。有关如何撰写有效提示词的指导，请参阅 AI Pentest 提示词指南。
Advanced Settings
添加正则表达式以将待扫描的 URL 加入白名单，每行一条。
Custom Checks
添加自定义扫描代理以扩展扫描能力。
自定义扫描代理默认未启用。如需使用该功能，请联系 Ostorlab 支持团队。
步骤 7：提交扫描
点击 Submit 启动扫描。扫描完成后，所有资产的发现会一并显示在一份报告中，并分别标注其严重程度、受影响资产和修复建议。
示例：一款移动应用、其 API 及其代码
本示例围绕一款银行应用及其背后的系统确定一次扫描的范围。所有名称均为占位符：
- 发布在 Play Store 上的 Android 应用
com.example.bank。 - 该应用调用的 Web API
https://api.example.com。 - 该应用及其后端的源代码，以代码仓库归档文件的形式提供。
- 描述
https://api.example.com的 OpenAPI 模式。
在步骤 2 中，将它们分别添加为资产：
| 资产 | 添加位置 | 提供的内容 |
|---|---|---|
com.example.bank (PlayStore) |
Mobile 选项卡 | 要测试的客户端。 |
https://api.example.com (Web App) |
Web 选项卡 | 该应用与之通信的后端和 API。 |
| 源代码 (Repository Archive) | Code 选项卡 | 来自上传归档文件的该应用及其后端的代码。 |
| OpenAPI 模式 (File) | Add Asset 对话框 | 有助于扫描反映系统实际构建和部署方式的辅助文件，例如 API 模式、脚本和配置。 |
要在应用商店中找到该应用，请使用其 name 或 package name 进行搜索。如果该应用仅在特定国家/地区提供，请在 Country 菜单中选择该国家/地区。
如果代码位于已连接的 Git 提供方中，请添加 Code Repository 资产来代替归档文件。这需要已配置的源代码集成；请参阅源代码扫描。
凭据。 您在 Test Credentials 中选择的凭据会应用于扫描中的所有资产。在本示例中，为该应用的测试账户添加一个 Login & Password 凭据；如果 https://api.example.com 需要 API 密钥请求头，再添加一个 HTTP Headers 凭据。另请参阅经过身份验证的 Web 扫描。
范围。 范围就是您添加的资产集合：至少一个资产，且最多一个移动应用。要限制测试的 URL，请在 Advanced Settings 中添加正则表达式 https://api\.example\.com。
上下文。 File 资产用于提供 OpenAPI 模式；脚本和配置也以同样的方式添加。Repository Archive 接受 .zip、.tar.gz、.tgz 或 .7z 归档文件。SBOM 文件和锁文件不是资产：请在 SBOM Files 中上传。使用 Prompts 让扫描聚焦重点，例如使用 AI Pentest 提示词指南中的 API 安全评估模板。
关联的发现。 应用、其 API 及其源代码的发现都会显示在步骤 7 所述的同一份报告中。Multi Asset Deep Agentic Scan 配置文件会跨这些资产串联漏洞（例如从应用到它调用的 API），因此漏洞链及其关联的发现都保留在同一份报告中。请参阅多资产扫描配置文件。
常见问题
一次多资产扫描可以包含多少个资产？
一次扫描最多只能包含一个移动应用。Web 应用、网络范围、代码仓库、压缩包和文件则可不限数量地添加。
所有资产是否共享相同的扫描设置？
是的。扫描配置文件、AI 提供方、投入级别、测试凭据、提示词和自定义检查只需为该扫描配置一次，即可应用于其中包含的所有资产。
我需要授予 Ostorlab 访问我的仓库的权限吗？
不需要。您可以根据需要连接 Git 提供方，但也可以添加 Repository Archive 资产并上传 .zip、.tar.gz、.tgz 或 .7z 压缩包，无需授予任何访问权限即可扫描代码。
为什么要将多个资产一起扫描，而不是分开扫描？
现代应用横跨移动客户端、Web 后端、基础设施和源代码。将它们一起扫描，可以让扫描在资产之间串联漏洞，并将相关发现集中在同一份报告中。请参阅多资产扫描配置文件。