HCL AppScan (Pro)
HCL AppScanコネクタは、AppScan v4 REST APIを使用して、AppScan on Cloud(ASoC)またはセルフホスト型のAppScan 360°(両者はAPIを共有しています)からissueをインポートします。アカウント全体を同期します。DefectDojoはすべてのアプリケーションを検出してそれぞれにRecordを作成し、そのアプリケーションのissue(DAST、SAST、IAST)を検出事項としてインポートします。
Prerequisites
AppScanのAPIキーが必要です — これはAppScanアカウント設定(API Key)で生成されるKey IDとKey Secretです。コネクタは実行ごとにこれらを短命のセッショントークンと交換します。Key ID、Key Secret、トークンはログに記録されません。
Connector Mappings
- LocationフィールドにAppScanコンソールのURLを入力します。ASoCの場合は
https://cloud.appscan.com(EUリージョンの場合はhttps://eu.cloud.appscan.com)、セルフホスト型のAppScan 360°の場合はインスタンスのホストを使用します。 - AppScan on Cloudの場合はProviderを
ASOCに、セルフホスト型のAppScan 360°の場合はA360に設定します。 - API Key IDとAPI Key Secretを入力します。
- 必要に応じてMinimum Severityを設定し、インポートする検出事項を制限できます。
DefectDojoは各AppScanのapplicationをRecord(VEP)にマッピングし、各issueを検出事項にマッピングします。タイトルはissueの種類にドメイン/エンティティ/cause-id/URL/パスを付加したものになります。深刻度はInformational→情報にマッピングされます(Low/Medium/High/Criticalはそのまま渡されます)。CWE、ラベル付きの説明、修復方法とアドバイザリ、およびhost/portエンドポイントが引き継がれます。静的解析によるissueは静的検出事項として、動的/インタラクティブなissueは動的検出事項として記録され、openなissueはアクティブ、fixed/passedのissueは緩和済みになります。
詳細については、AppScan REST APIドキュメントを参照してください。