Hướng dẫn sử dụng rational appscan

Báo cáo thực tập MỤC LỤC CÀI ĐẶT I.BẮT ĐẦU I.1 Hướng dẫn sơ lược I.1.1Main window I.1.2 Reports I.1.3 Toolbar trình duyệt I.2 Hướng dẫn công việc II – CẤU HÌNH QUÉT II.1 Tóm tắt II.2 Scan Configuration Wizard II.3 Hộp thoại Scan Configuration(Cấu hình quét) II.3.1 EXPLORE: URL and Servers II.3.2 EXPLORE: Login Management II.3.3 EXPLORE: Login Management Details II.3.4 EXPLORE: Environment Definition II.3.5 EXPLORE: Exclude Paths and Files II.3.6 EXPLORE: Explore Options II.3.7 EXPLORE: Parameters and Cookies II.3.8 EXPLORE: Automatic Form Fill II.3.9 EXPLORE: Error Pages II.3.10 EXPLORE: Multi-Step Operations II.3.11 EXPLORE: Content-Based II.3.12 CONNECTION: Communication and Proxy II.3.13 Connection: Platform Authentication II.3.14 TEST: Test Policy II.3.15 TEST: Test Options II.3.16 Test: Privilege Escalation II.3.17 Service Modules: Scan Expert II.3.18 Service Modules: Result Expert II.4 Scan Templates II.4.1 Predefined templates II.4.2 User-defined templates III - KẾT QUẢ: PHÁT SINH BẢO MẬT III.1 Tổng quan phát sinh bảo mật III.2 Phát sinh bảo mật: Cây ứng dụng III.3 Phát sinh bảo mật: Liệt kê danh sách III.3.1. Mức độ nghiêm trọng III.3.2. Trạng thái phát sinh: open hoặc noise III.3.3 Kiểm tra lại Hướng dẫn sử dụng Rational AppScan Page 1 Báo cáo thực tập III.3.4 Menu chuột phải III.4 Phát sinh bảo mật: Cách nhìn chi tiết III.4.1 Thẻ thông tin phát sinh III.4.2. Thẻ Advisory III.4.3 Thẻ Fix Recommendation III.4.4. Thẻ Request/Response III.5 Các kiểm tra thủ công III.6 Các biến thể không thể xâm nhập IV - KẾT QUẢ: Remediation Tasks IV.1 Remediation Tasks: Application Tree IV.2 Remediation Tasks: Result List IV.2.1 Tìm kiếm các Remediation Tasks trong danh sách kết quả IV.2.2 Sắp xếp các nhiệm vụ khắc phục IV.2.3 Thao tác với các cấp độ ưu tiên IV.2.4 Xóa nhiệm vụ khắc phục V – KẾT QUẢ: Application Data V.1. Tổng quan dữ liệu ứng dụng V.2. Dữ liệu ứng dụng: cây áp dụng V.3. Tương tác URL VI – BÁO CÁO VI.1 Tổng quan báo cáo VI.2 Các báo cáo bảo mật VI.3 Các báo cáo chuẩn công nghiệp VI.4 Các báo cáo theo quy tắc VI.5 Các báo cáo phân tích Delta VI.6 Tạo các mẫu báo cáo người dùng tự định nghĩa VII – CÔNG CỤ VII.1 Lên lịch quét mới VII.1.1 Lên lịch quét mới VII.1.2 Chỉnh sủa lịch quét VII.1.3 Xóa 1 lịch quét VII.1.4 Lập lịch 1 giai đoạn Kiểm tra VII.1.5 Lập lịch 1 quét tự cài đặt VII.2 Các kiểm tra người dùng tự định nghĩa VII.3 Thanh toolbar tự chỉnh VII.3.1 Điều chỉnh thứ tự các menu tool VII.3.2 Thêm chương trình tới Tools menu Hướng dẫn sử dụng Rational AppScan Page 2 Báo cáo thực tập VII.4 Mở rộng VII.5 Nhật ký VII.5.1 Nhật kí quét VII.5.2 Nhật kí AppScan VII.5.3 Nhật kí cập nhật VIII – TÙY CHỌN VIII.1 Thẻ Scan Options VIII.2 Thẻ Preference VIII.3 Thẻ General VIII.4 Thẻ Advanced Hướng dẫn sử dụng Rational AppScan Page 3 Báo cáo thực tập CÀI ĐẶT Yêu cầu về hệ thống Yêu cầu về phần cứng Phần cứng Yêu cầu tối thiểu Bộ vi xử lý Pentium® P4, 2.4 GHz Bộ nhớ 1 GB RAM Không gian đĩa 10 GB Mạng 1 NIC 100 Mbps for network communication with configured TCP/IP Hệ điều hành và các yêu cầu về phần mềm Software Details Operating System Windows® XP, Windows 2003 Standard and Enterprise Editions, Windows Vista Business and Ultimate Editions (Rational AppScan không hỗ trợ cho Vista) Browser Microsoft® Internet Explorer Version 6 hoặc hơn Other Microsoft .NET Framework Version 2.0 hoặc hơn (Version 3.0 hoặc hơn có 1 số lựa chọn, các hàm) (Tùy chọn) JRE 5.0 hoặc hơn yêu cầu công cụ tạo HTTP Proxy tool (một trong những công cụ mạnh mẽ đi kèm Appscan). Nếu ko được cài đặt, phải chỉnh lại trong quá trình cài đặt AppScan. (Tùy chọn) Adobe® Flash Player 9.0.124.0 hoặc hơn cần cho việc trình diễn (Tùy chọn) Sử dụng Word 2003 or 2007 cho việc báo cáo. Trong trường hợp dùng Word 2003 cần phải được cập nhật Update for Office 2003 (KB907417): http://www.microsoft.com/downloads/details.aspx?FamilyId=1B0BFB35-C252- 43CC-8A2A-6A64D6AC4670&displaylang=en (Tùy chọn) Để quét các dịch vụ Web, các dịch vụ chung của máy trạm Generic Service Client (GSC), cái mà được cài đặt với Rational AppScan, hỗ trợ các thuẩ toán giải mã khác nhau. Tuy nhiên, nếu server của bạn yêu cầu các chiến lược mã hóa cấp độ cao, GSC có khả năng thành hỗ trợ mà không cần thư viện bảo mật (.jar file). "BouncyCastle" (http://www.bouncycastle.org) là 1 nhà cung cấp các thư viện bảo mật mà có thể chứa đựng các chiến lược. Hướng dẫn sử dụng Rational AppScan Page 4 Báo cáo thực tập Chú ý: 1 tường lửa đang chạy trên cùng có cài Rational Appscan có thể bị block và kết quả làm cho việc tìm kiếm sai lạc. Do vậy cần tắt tường lửa trước khi chạy Rational AppScan Vị trí file tạm Mô tả nơi AppScan lưu trữ các file tạm trong suốt quá trình thực thi . Theo mặc định, Rational AppScan lưu trữ các file tạm ở: C:\Documents and Settings\All Users\Application Data\IBM\Rational AppScan\temp Nếu cần viết đè vị trí mặc định này cho bất kì lí do nào, chỉnh sửa đường dẫn trong tham biến APPSCAN_TEMP Chỉnh sửa: My ComputerPropertiesAdvanced Environmental Variables Cài đặt Tổng quát 1. Đóng tất cả các ứng dụng Microsoft Office đang mở Lưu ý: Nếu bạn có Microsoft Word 2003 hoặc cao hơn được cài đặt, Rational AppScan sẽ tự động them vào như lựa chọn bắt buộc. Có thể được dùng để chèn các trường mã cho việc tạo các mẫu báo cáo. Do đó, Microsoft Word và bất cứ chương trình Microsoft Offiece sử dụng nó (như là Microsoft Outlook) phải được đóng trong suốt quá trình cài đặt. 2. Thiết lập Rational AppScan Bắt đầu cài đặt, tiến trình cài đặt kiểm tra các yêu cầu tối thiểu Lưu ý: Phụ thuộc vào hệ điều hành, .NET Framework Version 2.0 hoặc 3.0 có thể được yêu cầu để thực thi Ration AppScan. Nếu bạn có 1 phiên bản trước đó, hoặc chưa có, sẽ được hỏi phiên bản cần cài - Nếu chọn Yes, .NET được cài đặt. Hỏi để khởi đông máy tính sau khi nó được cài. - Nếu chọn No, cài đặt dừngm Rational AppScan không thể hoạt động với phiên bản .NET Framwework hiện có Nếu đang sử dụng phiên bản 6.0 trở lên, 1 thông điệp xuất hiện thông báo sẽ cập nhật phiên bản cuối cùng (Không thể chạy 2 phiên bản trên 1 máy, phiên bản trước đó sẽ tự động loại bỏ) 3. Theo các chỉ thị để hoàn thành cài đặt Lưu ý: Sẽ được hỏi để cài đặt hoặc doynload GSC. Cần để triển khai các dịch vụ Web theo thứ tự để cấu hình 1 bộ quét dịch vụ Web(nếu không chỉ quét ứng dụng Web) I.BẮT ĐẦU I.1 Hướng dẫn sơ lược Hướng dẫn sử dụng Rational AppScan Page 5 Báo cáo thực tập I.1.1Main window Menu: • File menu • Edit menu • View menu • Scan menu • Tools menu • Help menu File menu Dùng để tạo, mở và lưu Câu lệnh Tác dụng New Tạo quét mới Open Mở quét đã có Save Lưu quét hiện thời Save As Lưu quét hiện thời với 1 tên mới Export > Scan Results as XML Xuất kết quả theo dạng XML Export > Scan Results as DB Xuất kết quả theo kiểu CSDL. CSDL lựa chọn để xuất kết quả theo cấu trúc Firebird. Đây là mã nguồn mở, theo chuẩn ODBC và JDBC Export > Cross Scan Data Nếu có định nghĩa như Noise (False Positive- Cảnh báo sai), có thể xuất thông tin này để dùng quét cho nhiều máy khác nhau. (Không cần làm điều này trên từng máy, thông tin sẽ được tự động lưu trữ và thử nghiệm ở lần quét sau) Import > Explore Data Load 1 file đã được export. Import > Cross Scan Data Nếu ấn bản chỉ định có dạng Noise (False Positives – Cảnh báo sai) trên 1 máy khác nhau và đã được xuất, có thể nhập thông tin này sử dụng trong việc quét trên máy riêng, để những ấn bản này không xuất hiện trong kết quả. Page Setup Định nghĩa kích cỡ trang, nguồn, định hướng và lề để In. Print Preview Xem trước khi In Hướng dẫn sử dụng Rational AppScan Page 6 Báo cáo thực tập Câu lệnh Tác dụng Print In Cây ứng dụng hiện tại hoặc danh sách kết quả(phụ thuộc vào vị trí con trỏ hiện tại). filenames Các file được sử dụng gần đây. Exit Thoát Edit menu Dùng để tùy chỉnh kết quả quét. Câu lệnh Tác dụng Delete Xóa phần phát sinh vừa chọn hoặc vừa bổ sung. Severity (Phát sinh chỉ xem) Tùy chỉnh mức độ nghiêm trọng của phát sinh. State (Phát sinh chỉ xem) Chỉ định phát sinh vừa chọn là "Noise(Nhiễu)" (nghĩa là mặc dù AppScan xếp nó vào như một phát sinh, trong ngữ cảnh thuộc ứng dụng đang chạy) Những phát sinh mà được chỉ định như Noise có thể được loại bỏ hoặc bị đánh dấu (View menu  Show Issues Marked as Noise). Priority (Chỉ xem sự bổ sung) Thay đổi cấp độ ưu tiên của sự bổ sung. Find Tìm các chuỗi, IDs, mã HTTP,v.v trong các kết quả quét hiện tại(Tùy chọn phụ thuộc vào dạng View được chọn hiện tại) Lưu ý: Độ nghiêm trọng và độ ưu tiên loại trừ lẫn nhau, mỗi 1 cái chỉ có tại 1 thời điểm, phụ thuộc vào xem dạng nào View menu Dùng để xác định làm thế nào cửa số win xuất hiện và dữ liệu hiển thị như nào Câu lệnh Tác dụng Security Issues Hiển thị các phát sinh bảo mật Remediation Tasks Hiển thị các loại trừ Application Data Hiển thị dữ liệu (broken links, URLs đã viếng thăm, các tham biến, các URL tương tác, cookies, and so on). Arrange By > Chọn 1 phương pháp sắp xếp cho việc hiển thị kết quả: Severity/Result/Name. Chọn Reverse Order để liệt kê kết quả theo kiểu xổ xuống Hướng dẫn sử dụng Rational AppScan Page 7 Báo cáo thực tập Câu lệnh Tác dụng Resize Panes Mở 1 toolbar với 4 mũi tên để điều chỉnh khung pane View Selector Ẩn/Hiện View Selector. Welcome Screen Mở màn hình chào mừng AppScan Show Issues Marked as Noise Những phát sinh AppScan tìm ra, mà không liên quan đến ngữ cảnh của ứng dụng, thì được đánh dấu như là Nhiễu. Khi chọn, Nhiễu xuất hiện với dấu gạch ngang, khi không được chọn, Nhiễu không được chỉ ra Non-vulnerable Variants Mở danh sách các biến đổi được định nghĩa không thể tấn công Scan Log Mở nhật ký tất cả các hoạt động của AppScan trong suốt quá trình quét hiện tại Customize Toolbar > Chọn Large Icons để hiển thị các biểu tượng toolbar lớn Scan menu Dùng để điều khiển việc quét Câu lệnh Tác dụng Full Scan Bắt đầu quét đầy đủ (bao gồm các giai đoạn Explore và Test) Pause Dừng quét (ngay khi chạy Full Scan, Explore Only hoặc Test Only). Có thể khôi phục lại việc quét sau. Cũng có thể lưu lại việc dừng quét để tiếp tục vào lần sau Re-Scan > Chạy quét lại. Chọn 1 trong khuyến cáo sau: Re-Scan (Full): Xóa tất cả các kết quả quét và chạy quét đầy đủ sử dụng cấu hình hiện tại Re-Explore: Xóa tất cả các kết quả quét và chạy Explore chỉ sử dụng cấu hình hiện tại Re-Test: Xóa kết quả quét và chạy Test mới sử dụng cấu hình hiện tại Explore Only Chạy Explore không có giai đoạn Test Manual Explore Xem xét site đang chọn Explore Web Services Mở dịch vụ máy trạm Generic Service Client, có thể tùy chỉnh explore ứng dụng. Các yêu cầu và hồi đáp được sử dụng trong suốt giai đoạn Hướng dẫn sử dụng Rational AppScan Page 8 Báo cáo thực tập Câu lệnh Tác dụng Test. Test Only Chỉ chạy Test (hoặc tiếp tục 1 Test đang dừng), mà không phải lần đầu chạy Explore. Tùy chọn chỉ hiện ra khi đã có 1 vài kết quả Explore Scan Multi-Step Operations Only Nếu đã cấu hình một hoặc nhiều Multi-Step Operations, và tạo thành 1 tập con đặc biệt mà muốn quét Lưu ý: Scan Expert không chạy tự động trước tùy chọn này, ngay khi cấu hình trước khi quét. Nếu được yêu cầu, chạy quét riêng trước khi quét Multi-Step Operations Only. Clear All Scan Data Xóa tất cả kết quả Explore và Test, chỉ giữ cấu hình quét Run Scan Expert Evaluation Scan Expert tính toán có hay không cấu hình hiện tại là tổt nhất cho ứng dụng trước khi quét Tùy chọn này chạy tính toán đầy đủ: Scan Expert sẽ explore ngắn gọn ứng dụng, phân tích sự phản hồi, gợi ý thay đổi cấu hình để đạt kết quả tốt nhất Run Scan Expert Analysis Only Tùy chọn này chỉ chạy giai đoạn Analysis, và chỉ được kich hoạt nếu đã có một vài kết quả quét trên phân tích cơ bản. Scan Expert sẽ phân tích các kết quả hiện tại để xác định có cấu hình tốt nhất hay chưa Enable Scan Expert before Scan (Toggles on/off) Khi mục này xuất hiện, Scan Expert chạy tự động mỗi khi (Explore và Test) hoặc Explore Only được chạy Scan Configuration Cấu hình quét Tools menu Cung cấp báo cáo khác nhau và các công cụ tùy chỉnh, bao gồm IBM® Rational® PowerTools. Câu lệnh Tác dụng Report Tạo 1 báo cáo cho quét hiện tại Manual Test Tạo và gửi biến đổi tới URL được chọn. (Thuộc tính này không có trong phiên bản AppScan Developer Edition.) Run Result Expert (Chỉ kích hoạt nếu đã có một vài kết quả quét) Scan Scheduler Thiết lập thời gian và tần số cho việc quét tự động User-Defined Tests Định nghĩa các kiểm tra mới cho việc quét (Thuộc tính này không có trong phiên bản AppScan Developer Edition.) Extensions > Hướng dẫn sử dụng Rational AppScan Page 9 Báo cáo thực tập Câu lệnh Tác dụng >Start Pyscan Mở Pyscan để điều khiển AppScan sử dụng giao diện Python >Extension Manager Mở Extension Manager để quản lý các add-on PowerTools > >Authentication Tester Chạy Authentication Tester PowerTool để brute-force các xác thực >Connection Test Chạy Connection Test PowerTool để ping websites không sử dụng giao thức ping (có khả năng bị đóng bởi các tường lửa). >EncodeDecode Chạy EncodeDecode PowerTool cho chuỗi mã hóa/giải mã giữa các định dạng khác nhau >ExpressionTest Chạy ExpressionTest PowerTool để kiểm tra các biểu thức thông thường >HTTP Request Editor Chạy HTTP Request Editor PowerTool để chỉnh sửa và gửi các yêu cầu HTTP requests, và hiện các phản hồi >Token Analyzer Chạy Token Analyzer PowerTool để phân tích các phiên token ngẫu nhiên >External Tools Mở hộp thoại để • Kiểm duyệt thứ tự PowerTools trong menu Tools • Thêm các chương trình mở rộng mà được mở từ menu Tools AppScan Enterprise Cấu hình thông tin đăng nhập AppScan Enterprise Server, nếu tổ chức chạy AppScan Enterprise. Options Tùy chỉnh các hành động Rational AppScan Help menu Dùng để lấy tài liệu, hỗ trợ, giúp đỡ và license Câu lệnh Tác dụng Rational® AppScan Help Mở trợ giúp trực tuyến - F1. Rational AppScan User Guide Mở hướng dẫn người dùng định dạng file PDF (yêu cầu Adobe® Acrobat Reader). AppScan Getting Started Mở hướng dẫn thao tác làm quen Rational AppScan định dạng PDF (yêu cầu Adobe Acrobat Reader). Hướng dẫn sử dụng Rational AppScan Page 10 [...]... hiện tại Update Kiểm tra và download nếu cầu các cập nhật của Rational AppScan Keyboard Shortcuts AppScan sử dụng các từ khóa bàn phím sau Table 1 Keyboard Shortcuts Shortcut Function Hướng dẫn sử dụng Rational AppScan Page 12 Báo cáo thực tập Table 1 Keyboard Shortcuts Shortcut Function F2 Hiển thị các phát sinh bảo mật F3 Hiển thị việc sửa chữa F4 Hiển thị dữ liệu F10 Mở hộp thoại cấu hình [Ctrl]... ứng dụng hàm đầu vào đơn lẻ(MVC), hoặc các ứng dụng mà cấu trúc thứ tự không theo logic, có thể tạo 1 cây ứng dụng theo ngữ cảnh, bằng cách định nghĩa 1 tập các biểu thức thông thường mà trích xuất đường dẫn logic từ các trang Hướng dẫn sử dụng Rational AppScan Page 14 Báo cáo thực tập Application Tree icons Mỗi loại nút trong Application Tree được chỉ rõ bởi biểu tượng riêng Biểu tượng Chỉ dẫn Ứng dụng, ... Management: Additional settings Hướng dẫn sử dụng Rational AppScan Page 30 Báo cáo thực tập Hộp thoại Login Management Settings để xem lại và chỉnh sửa chuỗi đăng nhập đã lưu, và bước mà AppScan dùng trong suốt quá trình quét để kiểm tra nó đăng nhập được 1 Xem lại và chỉnh sửa chuỗi đăng nhập sử dụng các nút: o Để nhập 1 chuỗi tần số lưu, click Import o Để xem mỗi URL trong trình duyệt AppScan, chọn nó và click... phương án để fix ứng dụng web Request/Response Tab: Rational AppScan kiểm tra yêu cầu và phản hồi của ứng dụng Tab này có toolbar riêng 3 tab thuộc tính, góc bên phải tab Request/Response, cung cấp chi tiết và nhiều tuỳ chọn hơn cho biến thể hiện tại Có thể hiện/ẩn bằng cách chọn selecting/deselecting checkbox ở góc trên bên phải của tab Request/Response Hướng dẫn sử dụng Rational AppScan Page 19 Báo... Table 1 AppScan Browser Biểu tượngs Nút Miêu tả Trở lại Đi tiếp Dừng Làm mới Duyệt đến URL mặc định Để trang hiện tại làm URL bắt đầu Chụp hình trang này I.2 Hướng dẫn công việc Step 1: Các bước cơ bản cấu hình quét 1 Mở AppScan Màn hình Welcome xuất hiện (hoặc, click File  New) 2 Kiểm tra Launch Scan Configuration Wizard checkbox được tich, click Predefined Template Hướng dẫn sử dụng Rational AppScan. .. tới IBM để Hướng dẫn sử dụng Rational AppScan Page 16 Báo cáo thực tập Mục Miêu tả nhận phản hồi các kết quả có khả năng là cảnh báo sai Manual Test Mở hộp thoại Manual Test Copy URL Copy URL chọn vào clipboard Liệt kê danh sách các bước sửa chữa Liệt kê danh sách sửa chưa hiển thị các gợi ý cho mỗi phát sinh Biểu tượng Chỉ dẫn Độ ưu tiên mức cao Độ ưu tiên mức vừa Độ ưu tiên mức thấp Đường dẫn tới bước... file hệ thống trên ứng dụng là ko đoán được(trong nhiều trường hợp, nó dùng cho các server có nền Unix, bỏ chọn nếu chắc chắn server là Windows) Additional Servers and Nếu ứng dụng bao gồm các liên kết tới các tên miền khác ngoài địa chỉ Domains URL, thêm vào để AppScan quét đồng thời Lưu ý: Chỉ có thể thêm máy chủ/tên miền mà trong license của AppScan Hướng dẫn sử dụng Rational AppScan Page 36 ... thông số liên quan đến bước xử lí Tùy chọn cho mỗi bước sửa chữa Nếu Click chuột phải vào một mục trong danh sách liệt kê, menu ngữ cảnh xuất hiện với các tùy chọn Hướng dẫn sử dụng Rational AppScan Page 17 Báo cáo thực tập Table 2 Result List - Remediation Right-Click Menu Item Description Priority Thay đổi cấp độ của 1 sự sửa chữa Delete Loại bỏ việc sửa chữa trong danh sách Copy URL Sao chép URL vào... quét Hướng dẫn sử dụng Rational AppScan Page 32 Báo cáo thực tập 1 Lựa chọn: o Start a full automatic scan: Bắt đầu quét đầy đủ ứng dụng o Start with automatic Explore only: Explore ứng dụng, nhưng không đi tới giai đoạn Test (Có thể chạy giai đoạn Test sau đó) o Start with Manual Explore: Trình duyệt mở ra và có thể tùy chọn explore trang web bằng cách click vào các liên kết và điền đầy đủ các tường Rational ... đăng nhập khi quét • Recorded Login: Nếu chọn mục này, AppScan sử dụng 1 thủ tục đăng nhập đã lưu, điền đầy đủ thông tin và click vào liên kết như bình thường Đây là phương thức đề nghị Nếu phần đăng nhập yêu cầu nhiều lựa chọn (như là Two-Factor Authentication, OneTime Passwords, hoặc CAPTCHA), chọn tùy chọn Prompt Hướng dẫn sử dụng Rational AppScan Page 29 Báo cáo thực tập • • • Prompt: Trong trường . Started Mở hướng dẫn thao tác làm quen Rational AppScan định dạng PDF (yêu cầu Adobe Acrobat Reader). Hướng dẫn sử dụng Rational AppScan Page 10 Báo cáo thực tập Câu lệnh Tác dụng AppScan Web. phiên bản AppScan Developer Edition.) Extensions > Hướng dẫn sử dụng Rational AppScan Page 9 Báo cáo thực tập Câu lệnh Tác dụng >Start Pyscan Mở Pyscan để điều khiển AppScan sử dụng giao. cầu các cập nhật của Rational AppScan Keyboard Shortcuts AppScan sử dụng các từ khóa bàn phím sau Table 1. Keyboard Shortcuts Shortcut Function Hướng dẫn sử dụng Rational AppScan Page 12 Báo