QualysGuard(R) Release Notes

Size: px

Start display at page:

Download "QualysGuard(R) Release Notes"

ゆあままだ
4 years ago
Views:

カスタムフォームパラメータユーザはカスタムフォームパラメータセットを設定することで Qualys が提供した既存のデフォルト値を無効にすることができますそれぞれのカスタムパラメータセットによりスキャン時に対象となる Web アプリケーションに挿入するリクエストパラメータの設定が決まります

1 Web Application Scanning 3.5 リリースノート 2014 年 7 月 23 日 QualysGuard WAS 3.5 では組織が利用している Web アプリケーションポートフォリオ全体にわたる大量かつ完全自動化された Web アプリケーションスキャンに対応できる新機能を提供します主な機能の概要カスタムフォームパラメータスキャン時間の予測の改善収集情報の QID - 検出の詳細の更新 API の機能拡張カスタムフォームパラメータユーザはカスタムフォームパラメータセットを設定することで Qualys が提供した既存のデフォルト値を無効にすることができますそれぞれのカスタムパラメータセットによりスキャン時に対象となる Web アプリケーションに挿入するリクエストパラメータの設定が決まりますパラメータセットは必要に応じていくつでも無制限に定義できますカスタムパラメータセットのリストの表示 - 別名で保存を使用して既存のセットを変更 Initial Parameters Qualys では Initial Parameters セットを用意していますオプションプロファイルを作成するとデフォルトでこのパラメータセットが選択されます別のパラメータセットをデフォルトに設定することもできます無断複写転載を禁じます 2014 年クォリスジャパン株式会社 1

ユーザにパーミッションを付与するには Administration ユーティリティを選択し次のように編集を行います 1) ユーザの割り当てられたロールの 1 つを編集しパーミッションの編集で WAS

2 パラメータセット名の設定およびユーザスコープを定義するタグの適用カスタムパラメータの定義 - デフォルトを変更新しいユーザパーミッションマネージャなどすべてのパーミッションとスコープを持つユーザは次の操作が可能です - サブスクリプション内のすべてのパラメータセットの表示作成編集削除 - パラメータセットの表示作成編集削除を行うパーミッションが付与されるユーザの継続的な管理ヒント - ユーザにパーミッションを付与するには Administration ユーティリティを選択し次のように編集を行います 1) ユーザの割り当てられたロールの 1 つを編集しパーミッションの編集で WAS Configuration Permissions ( リクエストパラメータセットの作成 / 更新 / 削除 ) を設定します 2) スコープを編集でパラメータセットに適用したタグの 1 つを追加します Qualys WAS リリースノート 2

オプションプロファイルへのカスタムパラメータセットの適用 - カスタムパラメータ適用後のプロファイルを使用してスキャンスキャン時間の予測の改善スキャンの進行状況のステータスに関する機能が拡張され以前のスキャンに基づいてスキャンの終了時間をより正確に予測することができるようになりました

3 オプションプロファイルへのカスタムパラメータセットの適用 - カスタムパラメータ適用後のプロファイルを使用してスキャンスキャン時間の予測の改善スキャンの進行状況のステータスに関する機能が拡張され以前のスキャンに基づいてスキャンの終了時間をより正確に予測することができるようになりましたこれまでのスキャン時間の予測ではスキャン中の応答時間やその他の収集情報のプロファイリングに基づいて行われていました Web アプリケーションを最初にスキャンする場合は引き続きこの方法が使用されますスキャンの進行状況における残りのスキャン時間の表示 - 以前のスキャンから予測した時間 Qualys WAS リリースノート 3

が表示されます ( これは最新スキャンの検出日です ) 収集情報の QID の検出の詳細に初回の検出前回の検出前回のテストが含まれなくなりました

4 これまでのスキャン時間と比較したスキャンの進行状況の表示 - 所要時間が通常より長いスキャンはアプリケーション応答が遅い場合が多いことがわかる収集情報の QID - 検出の詳細の更新 UI およびすべてのレポート形式で収集情報の QID の検出の詳細が変更されました検出の詳細には Detection Date が表示されます ( これは最新スキャンの検出日です ) 収集情報の QID の検出の詳細に初回の検出前回の検出前回のテストが含まれなくなりました確認済みの脆弱性 / 潜在的な脆弱性の QID の検出の詳細に変更はありませんスキャンレポート (HTML) - 収集情報の QID の詳細 Qualys WAS リリースノート 4

Web アプリケーションレポート (PDF) - 収集情報の QID の詳細スキャンレポート (XML) - 収集情報の QID の詳細スキャンレポート XML 出力の <LAST_TIME_DETECTED> タグは最新の検出日を表します <FIRST_TIME_DETECTED> と <LAST_TIME_TESTED> のタグは XML 出力に表示されません

5 Web アプリケーションレポート (PDF) - 収集情報の QID の詳細スキャンレポート (XML) - 収集情報の QID の詳細スキャンレポート XML 出力の <LAST_TIME_DETECTED> タグは最新の検出日を表します <FIRST_TIME_DETECTED> と <LAST_TIME_TESTED> のタグは XML 出力に表示されません <INFORMATION_GATHERED_LIST> <INFORMATION_GATHERED> <ID> </ID> <QID>6</QID> <LAST_TIME_DETECTED> T07:17:42Z</LAST_TIME_DETECTED> <DATA base64="true"><![cdata[i3rhymxlcklqx2fkzhjlc3mgsg9zdf9uyw1lcgoxmc4xmc4yni4ymzggtm9fcmv naxn0zxjlzf9ob3n0bmftzqo]]></data> </INFORMATION_GATHERED> <INFORMATION_GATHERED> <ID> </ID> <QID>45017</QID> <LAST_TIME_DETECTED> T07:17:42Z</LAST_TIME_DETECTED> <DATA base64="true"><![cdata[i3rhymxlignvbhm9ijmick9wzxjhdgluz19texn0zw0gvgvjag5pcxvlielecgp MaW51eF8yLjQtMi42Xy9fRW1iZWRkZWRfRGV2aWNlXy9fRjVfTmV0d29ya3NfQmlnLUlQIFRDUC9JUF9GaW5nZ XJwcmludCBVMTE0MTo4MAo]]></DATA> </INFORMATION_GATHERED> Qualys WAS リリースノート 5

6 スキャンレポート (CSV) - 収集情報の QID の詳細 Web アプリケーションの検出 ( Web アプリケーション検出 ) - 収集情報の QID の詳細 Qualys WAS リリースノート 6

7 API の機能拡張スキャン詳細の取得 API(<baseURL>/qps/rest/3.0/get/was/wasscan/<id>) によってスキャンに適用されたリクエストパラメータセットが返されるようになりました <baseurl> について : これはご使用の Qualys アカウントが所属する Qualys API サーバの URL です US プラットフォーム 1 のアカウントの場合は <qualysapi.qualys.com> US プラットフォーム 2 の場合は <qualyspai.qg2.apps.qualys.com> EU プラットフォームの場合は <qualysapi.qualys.eu> です API リクエスト : curl -u "USERNAME:PASSWORD" -H "content-type: text/xml" " XML 出力 ( パラメータセットは Initial Parameters ): <?xml version="1.0" encoding="utf-8"?> <ServiceResponse xmlns:xsi=" xsi:nonamespaceschemalocation=" <responsecode>success</responsecode> <count>1</count> <data> <WasScan> <id>801678</id> <name><![cdata[my Scan]]></name> <reference>was/ </reference> <type>vulnerability</type> <mode>ondemand</mode> <multi>false</multi> <target> <webapp> <id> </id> <name><![cdata[my Scan]]></name> <url><![cdata[ </webapp> <webappauthrecord> <id>128557</id> <name><![cdata[myy Authentication Record]]></name> </webappauthrecord> <scannerappliance> <type>external</type> </scannerappliance> </target> <profile> <id>160333</id> <name><![cdata[300 links]]></name> </profile> <options> <count>14</count> <list> <name>web Application Authentication Record Name</name> <value><![cdata[my Authentication Record]]></value> <name>detection Scope</name> <value><![cdata[complete]]></value> <name>sensitive Content: Custom Contents</name> <value><![cdata[zip code social security password]]></value> Qualys WAS リリースノート 7

8 <name>scanner Appliance</name> <value><![cdata[external (IP: , Scanner: , WAS: , Signatures: )]]></value> <name>target URL</name> <value><![cdata[ <name>performance Settings</name> <value><![cdata[low]]></value> <name>sensitive Content: Social Security Numbers (US)</name> <value><![cdata[true]]></value> <name>sensitive Content: Credit Card Numbers</name> <value><![cdata[true]]></value> <name>maximum Crawling Links</name> <value><![cdata[300]]></value> <name>bruteforce Settings</name> <value><![cdata[minimal]]></value> <name>option Profile Name</name> <value><![cdata[300 links]]></value> <name>crawling Form Submissions</name> <value><![cdata[both]]></value> <name>request Parameter Set</name> <value><![cdata[initial Parameters]]></value> <name>web Application Name</name> <value><![cdata[my Web Application]]></value> </list> </options> <launcheddate> t20:45:28z</launcheddate> <launchedby> <id>45941</id> <username>acme_ss</username> <firstname><![cdata[sarah]]></firstname> <lastname><![cdata[smith]]></lastname> </launchedby> <status>finished</status> <scanduration>385</scanduration> </WasScan> </data> </ServiceResponse> Qualys WAS リリースノート 8

9 XML output (custom parameter set name): <?xml version="1.0" encoding="utf-8"?> <ServiceResponse xmlns:xsi=" xsi:nonamespaceschemalocation=" <responsecode>success</responsecode> <count>1</count> <data> <WasScan> <id>34593</id>... <options> <count>14</count> <list>... <name>request Parameter Set</name> <value> <![CDATA[My custom parameter set]]> </value>... </list> </options>... </WasScan> </data> </ServiceResponse> Qualys WAS リリースノート 9

QualysGuard(R) Release Notes

QualysGuard(R) Release Notes QualysGuard リリースノート Web Application Scanning 2.4.1 2013 年 1 月 22 日 QualysGuard WAS 2.4.1 では使いやすさの向上とレポート機能の拡張が行われました Web アプリケーションファイルアップロードの改善オプションプロファイルの改善ユーザスコープタグの新規オブジェクトへの適用オンデマンドスキャン (n) 時間後にキャンセルスキャンとスケジュール