HCLSoftware (Japan) Blog

アプリケーションセキュリティ技術の強みと弱み

2022/9/26 - 読み終える時間: 2 分

Strengths and Weaknesses in Application Security Technologies の翻訳版です。

アプリケーションセキュリティ技術の強みと弱み

2022年9月26日

著者: Adam Cave / Product Marketing Manager, HCL AppScan

今日の世界では、アプリケーションのセキュリティテストはもはやオプションではありません。それは必需品です。フォーチュン 500 企業であろうと、スタートアップ企業であろうと、Web アプリケーションに対する脅威に事欠きません。リモートワークやクラウドベースのサービスなどのトレンドの台頭に伴い、潜在的なセキュリティの脆弱性は指数関数的に増加し続けています.

製品が市場に出た後にセキュリティ違反が発生すると、費用、時間、評判の面でコストがかかる可能性があります。そのため、脆弱性を軽減するために高度なアプリケーションセキュリティテストツールを利用する企業が増えています。ただし、各テクノロジには長所と短所があり、特定のビジネスモデルと開発サイクルに異なる方法で適合します。

画像の説明

Dynamic Application Security Testing (DAST) は、スキャンツールを使用して Web アプリケーションを自動的にクロールし、セキュリティの脆弱性をテストします。主にセキュリティの専門家や侵入テスト担当者が使用する DAST は、実行中のアプリケーションの脆弱性を調査するブラックボックスツールです。このアプローチの主な強みは正確さです。 DAST が問題を検出した場合、それが誤検知であることはめったにありません。 DAST スキャンは、脆弱性が修正された後に修正を検証することもできます。

DAST の弱点には、長いスキャン時間と、問題の修正方法に関する詳細がほとんどないことが含まれます (DAST は基になるコードを認識できません)。このタイプのテストには、安定したビルドも必要であり、開発ライフサイクルの早い段階で実装することはできません。

画像の説明

すぐに開始してコードを直接スキャンするには、静的アプリケーションセキュリティテスト (SAST) ツールが必要です。 SAST はスペルチェッカーのように機能し、開発者がコードを記述しているときに潜在的な脆弱性を見つけます。スキャンは自動的かつ継続的に行われるため、ダウンタイムはなく、コードのあらゆる側面が検査されていることを確信できます。

この完全なカバレッジは、圧倒的な数の調査結果につながる可能性があり、そのうちのいくつかは偽陰性である可能性があります.また、実行中の環境でアプリケーション全体をさらにスキャンしない限り、修正を検証する方法はありません。

画像の説明

Interactive Application Security Testing (IAST) は、独自の長所と短所を持つ 3 番目のテストオプションです。 IAST ツールは、アプリケーションの実行中にトラフィックを監視します。 DAST とは異なり、それらは受動的です。それらを使用して侵入テストを作成することはできません。ただし、DAST とは異なり、IAST はアプリケーションの実行中に基になるコードを見ることができます。これは、IAST スキャンが正確 (DAST スキャンのように) かつ詳細 (SAST のように) であることを意味します。

開発者、セキュリティアナリスト、CISO のいずれであっても、自分と自分の会社にとってどのテクノロジが最も有益かを判断するには、これらの各テクノロジのさまざまな長所を理解することが重要です。各テクノロジーには弱点がありますが、3 つのテクノロジーすべてを auto-issue corelation と組み合わせて使用すると、これらの弱点を大幅に減らすことができます。

アプリケーションセキュリティにおけるこの画期的な新開発と、修正する脆弱性に優先順位を付けて修正時間を節約する方法について詳しくは、ここをクリックするか、hcltechsw.com/AppScan にアクセスしてください。

HCL AppScan と Auto Correlation による修正の優先順位付け

2022/9/26 - 読み終える時間: 2 分

Prioritizing the Fix with HCL AppScan and Auto Correlation の翻訳版です。

HCL AppScan と Auto Correlation による修正の優先順位付け

2022年9月26日

著者: Adam Cave / Product Marketing Manager, HCL AppScan

Webアプリケーションは、日々増加するセキュリティの脅威に直面しています。幸い、HCL AppScanのようなアプリケーション・セキュリティ・テスト・プラットフォームは、新しい脆弱性を認識できるように常に進化しています。しかし、DevOpsチームがどんどん速いスピードでコードをリリースしていく中で、問題を修正するのにかかる時間は重要な痛手となり得ます。時には圧倒的なテスト結果に直面する中で、どの問題を修正すべきかの優先順位付けがますます重要になってきています。

HCL AppScanは、AppScan Enterprise と AppScan on Cloudの両方で利用できる IAST ソリューション（Interactive Application Security Testing）を活用した Auto Issue Correlation アルゴリズムにより、このプロセスをより簡単かつ効率的にしています。これらのセキュリティソリューションには、DAST（動的アプリケーションセキュリティテスト）、SAST（静的アプリケーションセキュリティテスト）ツールも含まれており、Auto Issue Correlation はこれらすべてをフルに活用しています。

各テストエンジンにはそれぞれ異なる長所と短所がありますが、Auto Issue Correlationはすべてのデータをまとめて表示することで、長所を引き出します。例えば、DASTは非常に正確な結果を出しますが、SASTやIASTのスキャンのようにコードを見たり、詳細な情報を提供したりすることはできません。しかし、相関関係があれば、SASTとIASTのスキャンを使用して、DASTの結果を確認し、より充実させることができます。

同様に、SAST は圧倒的な数の発見をもたらし、何を優先的に改善すべきかを判断するのが難しくなります。しかし、IAST と DAST のスキャンの精度を SAST の結果と重ね合わせると、明らかに重要な問題のサブセットが生成され、一度に修正することが容易になります。

さらに、SASTによる修正は、DASTやIASTとは異なり、開発者が「箱の中」にいてコードしか見ていないため、検証することができません。これらの追加エンジンからの相関関係によって問題が解決されたことをステータスアップデートの形で確認できれば、ユーザーはSASTに固有の完全なカバレッジと短いスキャン時間に加えて、修正の妥当性を確認することができるようになります。

画像の説明

Auto Issue Correlationは、各IAST、DAST、SASTの問題からデータを抽出し、さまざまなヒューリスティックを使用して相関関係を特定します。これにより、迅速かつ完全に対処できるように問題をグループ化することで、脆弱性と修正タスクの全体数を効果的に削減します。IAST、DAST、SASTの3つのテストエンジンすべてで関連する問題が見つかった場合、その問題は改善するためのリストの最上位に移動します。次に、IASTとDAST、またはIASTとSASTから相関のある問題が見つかります。その後、IASTまたはDASTによって発見された問題が優先されます。そして、これらの修正がすべて完了すると、開発者はSASTのみで見つかった残りの問題に移行することができます。

IAST と Auto Issue Correlation は、セキュリティ問題を修正するための効率的で組織的なアプローチを提供し、開発者とセキュリティチームの両方に、アップデートがどんなに速くても、出荷された製品に大きな信頼を与えることができるのです。

hcltechsw.com/AppScan で詳細をご覧になり、デモを予約してください。

HCL Unica Journey をはじめよう - パート2

2022/9/26 - 読み終える時間: 2 分

Let's get started with Unica Journey - Part 2 の翻訳版です。

HCL Unica Journey をはじめよう - パート2

2022年9月22日

著者: HCL Software / A division of HCL Technologies (HCL)

Let's Get Started with Unica V12.1は、ケリー・パワーズがホストを務めるインタラクティブなビデオシリーズで、Unicaプラットフォームの「使い方」を掘り下げて解説しています。Unicaは非常にパワフルで、このシリーズではすべてのビデオでプラットフォームのパワーに触れていきます。すでにパート1、パート2として「Unica Campaignを始めよう」「Unica Deliverを始めよう」「Unica Planを始めよう」をお届けしました。今回は、このスイートの中で最も重要なモジュールの1つである「Unica Journey」を案内する短いビデオのシリーズをお届けします。Unica Journey です。

このブログのパート1では、最初のジャーニーの作成とジャーニーへのデータのロードについて説明しています。ブログのパート2では、キャンペーンのデータをジャーニーに移動する方法について学びます。

キャンペーンのデータを Journey に移動する

Campaignでは、Journeyに移動する前に、顧客を探し、特定のセグメントを削除して絞り込みたいものです。このリプレイでは、CampaignとJourneyの統合、Campaignへの移動、Journeyが消費と実行に使用するデータのマッピングを探ります。この2つの連携により、Campaignは必要に応じて対象となるデータを収集し、Journeyは異なる時間やタッチポイントでの会話を通じて顧客を移動させることができるのです。

データの設定が完了し、Journeyに必要なデータがわかったところで、エントリーソースを作成し、Campaignに移動してエントリーソースをマッピングし、CampaignがJourneyを経由するのを確認しました。次はこのデータを使ってJourneyを作成する番です。このリプレイでは、CampaignからJourney Entryを構築することについて説明します。

Unicaはクラウドネイティブで完全に統合されたエンタープライズマーケティングオートメーションプラットフォームで、大規模な精密マーケティングを提供し、ユーザー、マーケター、開発者がより良いパフォーマンスを発揮できるようにします。マーケティング担当者は、Unica 12.1.2プラットフォームにより、市場投入までの時間を短縮し、顧客エンゲージメントを拡大することができます。Unica Deliver、Unica Campaign、Unica Link、Unica Discoverなど、他のモジュールについても同様のシリーズを制作しています。他のモジュールについても、このようなビデオを作成しましたので、ご期待ください。

HCL Nomad Web 1.0.5 をリリースしました

2022/9/26 - 読み終える時間: ~1 分

2022年9月22日、HCL Nomad Web 1.0.5 をリリースしました。今回のリリースの新機能は以下のとおりです。詳細についてはサポート技術情報「HCL Nomad Web (HCL Nomad for Web Browsers) 1.0.x リリース情報」を参照してください。

Domino Restyle Domino Restyle は、アプリケーションの UI 要素をカラーコーディネートされた、よりクリーンなルック＆フィールで更新します。Restyle では、UI 要素のみが更新され、コードは変更されません。

Domino サーバー上で稼働する Nomad サーバー HCL Nomad server on Domino は、HCL Nomad クライアントが HCL Domino サーバーと通信するための代替手段となります。HCL SafeLinx Nomad プロキシサーバー（以前は必須）の使用はオプションになりました (廃止されたわけではありません)。

再設計されたグループタブ データベースやデータベース内のドキュメントに関連するタブのデザインが変更されました。データベースごとにタブをグループ化し、タブコンポーネントの外観を更新しました。

panagenda MarvelClient Nomad Roaming Nomad Roaming により、ユーザーは HCL Nomad クライアント間で一貫したワークスペースを維持することができます。ワークスペースのバックアップは、Dominoサーバー上の中央のAnalyzeデータベースに保存でき、Nomadクライアントが起動するたびにリストアでき、2つの Nomad クライアントを実行中に同期することが可能です。

Nomad での notes://リンクの扱い OS で Nomad をプロトコルハンドラとして登録すれば、Notes リンク（notes://プロトコルを使ったリンク）が Nomad で扱えるようになりました。