HCL AppScan Enterprise 中文文檔 10.0.1 準備安全測試——創建和導入安全測試策略
安全測試策略
安全測試策略是一組預定義的安全測試。必須先為用戶指定服務器組和測試策略，用戶才能執行安全掃描。
無需為管理員授予對測試策略的明確訪問權，也無需將其指定到服務器組。有兩種類型的測試策略可用：
- Simple security test policy 在較高的級別定義測試。您可以在 AppScan? Enterprise Server 中創建和編輯簡單測試策略，并將其指定到服務器組。
- Advanced security test policy 定義更精細級別的測試。您可以從 AppScan 7.7（或更高版本）中導入高級測試策略，然后將其指定到服務器組，但不能編輯其屬性：
- 僅應用程序：包含所有應用程序級別的測試，但侵入式和端口偵聽器測試除外。
- 已完成：包含所有 AppScan 測試。
- 缺省值：包含所有測試，但侵入式和端口偵聽器測試除外。
- 開發者精要：包含一些成功可能性極高的應用程序測試的精選。在時間有限時對站點評估可能有用。
- 僅限基礎結構：包含所有基礎結構級別的測試，但侵入式和端口偵聽器測試除外。
- 侵入式：包含所有侵入式測試（可能影響服務器穩定性的測試）。
- 生產站點：排除可能破壞站的侵入式測試或可能導致其他用戶的“拒絕服務”的測試。
- 關鍵的少數：包含一些成功可能性極高的測試精選。在時間有限時對站點評估可能有用。
- 僅第三方：包含所有第三方級別的測試，但侵入式和端口偵聽器測試除外。
- Web Service：包含所有 SOAP 相關測試，但侵入式和端口偵聽器測試除外。
創建簡單安全測試策略
“簡單”安全測試策略是缺省測試策略。它在較高的級別定義測試。您可以創建和編輯簡單測試策略，并將其指定到服務器組。然后您可以為用戶指定服務器組/測試策略組合，以在安全掃描過程中使用。
過程
- 轉至“管理”視圖。
- 在“安全測試策略”頁面上，單擊創建。
- 在“創建簡單安全測試策略”頁面上，為測試策略給定名稱和描述，然后單擊創建。
- 在“編輯簡單安全測試策略”頁面上，配置將包含在測試策略中的測試，然后單擊保存。
下一步做什么
將測試策略指定給一個或多個用戶。
從 AppScan Standard 導入高級安全測試策略
使用高級安全測試策略來深入測試到漏洞的變體級別，從而使您能夠完全控制在掃描期間發送的測試。您可以從 AppScan? Standard Edition 7.5（或更高版本）導入高級安全測試策略并將其指定給服務器組。
關于此任務
從 AppScan 7.5（或更高版本）中導出這些測試策略，且這些測試策略為只讀。針對測試策略的任何必需修改都必須在 AppScan 中執行，然后再重新導入。
過程
轉至“管理”視圖。
在“安全性測試策略”頁面上，單擊導入高級安全測試策略。
在“導入高級安全測試策略”頁面上，給定策略名稱。
輸入 .policy 文件的位置，然后單擊導入。
注： 如果您不知道 .policy 文件的位置，請單擊瀏覽，以在文件系統中定位該文件，然后再單擊導入。“編輯高級測試策略”頁面會打開，您可以在此查看測試策略包含的測試的只讀版本。
在“編輯高級安全測試策略”頁面上，按照要求編輯測試策略的名稱和描述，然后單擊保存。
通過檢查測試策略的詳細信息，來驗證是否已導入正確的測試策略。
下一步做什么
將安全測試策略指定給一個或多個用戶。
重新導入高級安全測試策略
在必須從 AppScan? Standard 中重新導入安全測試策略文件時，您可以將其重新導入，而不會影響工作流程。
關于此任務
有時候您必須重新導入安全測試策略文件，其中包括：
- 您已經將測試策略指定給用戶，而這些用戶當前正在掃描作業上使用該策略
- 測試策略規則版本已經在 AppScan Standard 中更新，并且您想要在 AppScan Enterprise 中使用這些版本
要避免不得不重新指定測試策略上的安全許可權的情況，并避免影響到當前正在使用該安全測試策略的作業，您可以從 AppScan 中將其重新導入，而不會影響工作流程。否則，您必須刪除 AppScan Enterprise 中的測試策略，放棄引用已刪除策略的任何作業，創建新的測試策略。
- 在 AppScan Standard 中應用更新，然后關閉 AppScan Standard。
- 重新打開 AppScan，然后將該測試策略導出為 .policy 文件。
- 將安全測試策略重新導入到 AppScan Enterprise 中。
定義要測試的服務器和要執行的安全測試
由產品管理員向作業管理員分配安全測試策略和服務器組。安全測試策略定義可以執行哪些測試；服務器組定義可以對哪些應用程序/服務器運行這些測試。
開始之前
注：
- 可用的測試策略取決于產品管理員已分配給您的內容。
- 每個測試策略都與特定服務器組相關聯，因此，更改測試策略也會更改服務器組。
關于此任務
用戶屬性列出了已指定給您的安全測試策略和服務器組。當“作業管理員”創建作業時，其安全測試策略和服務器組已預先確定。但是，其他“作業管理員”能夠更改作業可以運行的測試及其可以測試的應用程序。任何其他“作業管理員”都能夠獲得作業的“所有權”。當“作業管理員”獲得作業所有權時，可用的安全測試策略和服務器組會成為新“作業管理員”的安全測試策略和服務器組。
過程
- 移至“文件夾內容摘要”，選擇作業并單擊編輯。
- 在“常規屬性”頁面上，單擊選擇作業所有者，并選擇您自己作為新的作業所有者。
- 單擊選擇作業所有者 > 保存。
下一步做什么
將安全測試策略和服務器組分配給用戶
將安全測試策略和服務器組分配給用戶
您創建服務器組（想要測試的內容）和安全測試策略（想要執行的測試）后，必須將其分配給用戶。用戶只能在指定給他們的服務器組上運行安全測試。如果不指定任何測試策略給這些用戶，他們便無法執行安全掃描。
關于此任務
可以為各用戶指定特定的安全測試策略和服務器組。但是，如果想讓所有新用戶自動擁有相同的測試策略和服務器組，那么請將他們指定到“缺省用戶”。
要將安全測試策略和服務器組指定到用戶，請執行下列操作：
- 轉至“管理”視圖。
- 在“用戶和組”頁面上，從現有用戶的列表中選擇用戶或者選擇“缺省用戶”，然后單擊編輯。
- 在“編輯用戶”頁面的“安全掃描許可權”部分中，選擇測試策略和對應的服務器組，然后單擊添加。
- 將測試策略和服務器組的其他組合添加到當前分配的安全測試策略和服務器組列表，然后單擊保存。
推薦文章：