Принцип работы автоматического сканирования
В этом разделе объясняются различия между "этапами" и "фазами" сканирования.
Полное сканирование AppScan состоит из двух этапов: Исследование и Тестирование. Несмотря на то что большинство операций сканирования требуют минимального участия со стороны пользователя, стоит подробнее объяснить суть этих процессов.
Этап Исследование
В ходе первого этапа AppScan исследует сайт (веб-приложение или веб-службу), имитируя нажатия ссылок и заполнение веб-форм пользователем. Этот этап называется Исследование.
AppScan анализирует ответы на каждый отправленный запрос и обнаруживает потенциальные уязвимости. При получении ответа, сигнализирующего об уязвимости защиты, AppScan автоматически создает тест (или тесты) на основе полученного ответа, а также отмечает правила проверки, необходимые для выявления уязвимых результатов и уровня серьезности угрозы.
Прежде чем отправить созданные тесты для сайта, AppScan отправляет приложению несколько неправильных запросов для определения способа генерации сообщений об ошибках. Эти сведения помогают повысить точность автоматической проверки тестов AppScan.
Этап Тестирование
Во время второго этапа AppScan отправляет тысячи специальных тестовых запросов, созданных на этапе Исследование. Продукт зарегистрирует и анализирует ответы приложения на основе специальных правил проверки. Эти правила помогают обнаружить проблемы защиты в приложении и оценить степень рисков.
Фазы сканирования
Как показывает практика, на этапе Тестирование обнаруживаются дополнительные ссылки и новые угрозы безопасности. Таким образом, после завершения первой "фазы" исследования и тестирования AppScan автоматически запускает вторую "фазу" с учетом новой информации. Если во время второй фазы будут обнаружены новые ссылки, запустится третья фаза и т. д.
После завершения всех фаз сканирования (значение определяется пользователем; 4 по умолчанию) результаты сканирования будут отправлены пользователю.
Автоматический поток операций сканирования
На этой диаграмме показаны этапы и фазы автоматического процесса сканирования. Обратите внимание, что этот процесс происходит без участия пользователя, однако в протоколе AppScan можно ознакомиться с подробной информацией.
