Web アプリケーションの追加

脆弱性、マルウェア、機密コンテンツなどのセキュリティリスクをスキャンする Web アプリケーションを追加します。

考慮すべき事項

ここでは、使用する必要のある Web アプリケーション設定について考えてみましょう。これを決めるための近道は、基本的な考え方を振り返ってみることです。

Web アプリケーションを追加する手順

「Web アプリケーション」を選択し、「新規 Web アプリケーション」ボタンをクリックします。「空白」を選択すると、ウィザードを使用して、新規の Web アセットを作成できます。

アカウントに Web アプリケーションを追加するには、この他にも 3 つの方法があります。

CSV ファイルで Web アプリケーションをインポート - 「Web アプリケーション」に移動し、リストの上にある「インポート」オプションを選択します。CSV ファイルを作成するための指示に従い、ファイルの場所を指定します。最後に必ず「インポート」ボタンをクリックしてください。

カタログから Web アプリケーションを選択 - カタログには、VM アプリケーションの脆弱性スキャンとマップで見つかった Web アプリケーションが表示されます。「Web アプリケーション」->「カタログ」に移動し、サブスクリプションに追加する Web アプリケーションを選択します。

既存の Web アプリケーションのコピーを保存して編集 - 「Web アプリケーション」に移動して Web アプリケーションを選択し、メニューから「別名で保存」を選択します（または Web アプリケーションを編集してからウィザードの「別名で保存」をクリックします）。新しい Web アプリケーションの名前を指定し、設定を編集します。

Web アプリケーション設定の詳細

以下の項目について説明します。

タグ

タグは、Web アプリケーションおよびサブスクリプション内のその他のオブジェクトを分類するのに適した方法です。タグを使用して、スキャンとレポートの対象となる Web アプリケーションを選択することができます。Web アプリケーションタグをユーザのスコープに割り当てると、Web アプリケーションにアクセスできるようになります。

タグを定義するには、CyberSecurity Asset Management（CSAM）アプリケーションに移動します。

巡回範囲

選択した巡回範囲の設定によってスキャンの対象が決まります。巡回を次の要素に制限できます。

URL ホスト名

HTTP または HTTPS と任意のポートを使用して、URL のホスト名（http://10.10.26.238 など）に巡回範囲を制限します。この場合、10.10.26.238 ドメインで検出されたすべてのリンクが巡回範囲に含まれます。例えば、http://10.10.26.238/support/ と https://10.10.26.238:8080/logout/ で検出されたすべてのリンクも巡回範囲に含まれます。10.10.26.238 ドメイン外のリンクは範囲外です。

URL サブディレクトリまたはそれ以下のリンク

HTTP または HTTPS と任意のポートを使用して、URL のサブディレクトリ（http://10.10.26.238/ など）に巡回範囲を制限します。この場合、http://10.10.26.238/ で始まるすべてのリンクが巡回範囲に含まれます。例えば、http://10.10.26.238/headlines/ と https://10.10.26.238:8080/ も巡回範囲に含まれます。

URL のホスト名と指定したサブドメイン

HTTP または HTTPS と任意のポートを使用して、URL（http://10.10.26.238/ など）に巡回範囲を制限します。この場合、10.10.26.238 で検出されたすべてのリンクが巡回範囲に含まれます。例えば、http://10.10.26.238/support/ と https://10.10.26.238:8080/logout/ などのリンクも巡回範囲に含まれます。ドメインが Web アプリケーションの URL ホスト名に一致しないリンクは範囲外です。

URL のホスト名と指定したドメイン

HTTP または HTTPS と任意のポートを使用して、URL のホスト名（http://10.10.26.238/ など）に巡回範囲を制限します。この場合、10.10.26.238 で検出されたすべてのリンクが巡回範囲に含まれます。つまり、http://10.10.26.238/support/ と https://10.10.26.238:8080/logout/ などのリンクが巡回範囲に含まれます。Web アプリケーション URL のホスト名とドメインが一致しないリンクや、指定したいずれのドメインにも一致しないリンクは、巡回対象に含まれません。例えば、http://cdn は巡回されません。

巡回設定

Web アプリケーションの巡回設定を細かく設定するために、Selenium スクリプトをアップロードすることができます。Selenium スクリプトは、スキャンの標準的な巡回に加えて巡回を行うパスを記録するために使用します。これにより、特定の知識やユーザとの対話が必要になるユーザ入力の組み合わせの選択といった、複雑なワークフローの巡回が可能になります。Selenium スクリプトを作成するには、Qualys Browser Recorder を使用します。詳細

認証レコード

スキャン中に使用される認証レコードを選択します。認証により、Web アプリケーションをより詳細に評価できます。認証レコードはドロップダウンから選択できます。認証レコードを作成するには、「Web アプリケーション」->「認証」->「新規レコード」を選択します。詳細

マルウェアモニタリング

「マルウェアモニタリング」を有効にすると、外部 Web アプリケーションのマルウェアを定期的にチェックできます。有効にすると、マルウェアスキャンが毎日実行されます。ダッシュボードにマルウェア検知に関する情報が表示されます。詳細

Web アセットについて

Web アセットとは

Web アプリケーションの追加時に、Web アセットが構築されます（サブスクリプションにない場合）。このアセットには、名前、URL、タグ（オプション）があり、WAF などの他の Web アプリケーション用として簡単に設定することができます。

アクセス可能なすべてのアセットのインベントリは、CyberSecurity Asset Management（CSAM）アプリケーションで確認できます。

Web アセットのパーミッション

マネージャ以外のユーザは、Web アセットへのアクセス権が付与されている必要があります。マネージャがユーザにアクセス権を付与するには、Administration ユーティリティに移動し、ユーザのアカウントを編集して、Web アプリケーションタグをユーザスコープに割り当てます。

Web アセットにタグ付けする理由

Web アセットにタグ付けすると、アセットへのアクセス権をユーザに付与できます。また、大量の Web アプリケーションを簡単に管理することもできます。例えば、レポートの対象として Web アプリケーションタグを選択できます。