ウェブアプリケーション認証

始める前に

Tenable Web App Scanning スキャンでは、追加 認証タイプ の [設定] セクションのドロップダウンリストで、以下の中からいずれかの認証方法を設定できます。

Tenable Web App Scanning の認証の概要については、次の動画をご覧ください。

ヒント: ログインプロセスによってヘッダーや Cookie が設定された場合、スキャナーはこれを認識し、後続のリクエストに含めます。想定どおりに動作しない場合は、Selenium 認証を使用して、ログインプロセスを .side ファイルに記録して、そのファイルをスキャンで使用します。問題が解決しない場合は、Tenable の担当者に連絡してサポートを依頼してください。

全般

オプション アクション
ユーザー名 ウェブアプリケーションベースのサーバーに認証するために Tenable Web App Scanning が使用するユーザー名を入力します。
パスワード ウェブアプリケーションベースのサーバーに認証するために Tenable Web App Scanning が使用するパスワードを入力します。

ログインフォーム認証

オプション アクション
Authentication Method (認証方法) ドロップダウンボックスで、[ログインフォーム] を選択します。
ログインページ スキャンするウェブアプリケーションのログインページの URL を入力します。
認証情報

ターゲットのログインフォームの各フィールド (ユーザー名、パスワード、ドメインなど) について、次のように認証情報エントリに入力します。

  1. 左側のドロップダウンボックスで、[テキスト] (デフォルト) または [パスワード]を選択します。

    注意: 保存後にパスワード値は非表示になります。変更するには、この値を再入力する必要があります。

  2. 真ん中のテキストボックスに、ログインフィールドの nameまたは id HTML DOM 属性の値を入力します。
  3. 行の右側のテキストボックスに、ログイン時にそのテキストフィールドに挿入するリテラル値を入力します。

典型的な設定の例

ヒント: テキストフィールドの名前または ID HTML DOM 属性を表示するには、テキストフィールドを右クリックし、Firefox または Chrome ブラウザで [検査] を選択します。

ヒント: 認証情報なしの [概要] スキャンを実行する場合、プラグイン 98033 ([ログインフォームが検出されました]) が、必要なログインボックスを自動的に検出してプラグインの出力にそれを表示することがあります。
正常な認証を検証するためのパターン

認証が成功した場合にのみウェブサイトに表示される単語、語句、または正規表現を入力します (たとえば、ようこそ、[ユーザー名] さん!)。なお、先頭のスラッシュはエスケープされ、パターンの最初と最後に .* は必要ありません。
アクティブなセッションを確認するためのページ

Tenable Web App Scanning が認証されたセッションを検証するために継続的にアクセスできる URL を入力します。
アクティブなセッションを確認するためのパターン

セッションが引き続きアクティブな場合のみウェブサイトに表示される単語、語句、または正規表現を入力します (たとえば、こんにちは、[ユーザー名] さんなど)。なお、先頭のスラッシュはエスケープされ、パターンの最初と最後に .* は必要ありません。

Cookie 認証

オプション アクション
Authentication Method (認証方法) ドロップダウンボックスで、[Cookie 認証] を選択します。
セッション Cookie

次を実行します。

  1. 最初のテキストボックスで、Cookie 認証の認証情報の名前を入力します。
  2. 2 番目のテキストボックスに、Cookie 認証の認証情報の値を入力します。
アクティブなセッションを確認するためのページ

Tenable Web App Scanning が認証されたセッションを検証するために継続的にアクセスできる URL を入力します。
アクティブなセッションを確認するためのパターン

セッションが引き続きアクティブな場合のみウェブサイトに表示される単語、語句、または正規表現を入力します (たとえば、こんにちは、[ユーザー名] さんなど)。なお、先頭のスラッシュはエスケープされ、パターンの最初と最後に .* は必要ありません。

Selenium 認証

オプション アクション
Authentication Method (認証方法) [Selenium 認証] を選択します。

Selenium Script (.side) (Selenium スクリプト (.side))

次を実行します。

  1. Selenium IDE 拡張機能で、認証の認証情報を Selenium IDE 拡張機能に記録します。

    注意: Tenable 提供の Selenium 拡張機能のサポートは終了しました。Selenium が直接提供する Edge および Firefox の拡張機能はサポートされています。ブラウザ外で実行される Selenium 提供のパッケージもサポートされています。

  2. [ファイルの追加] をクリックします。

    お使いのオペレーティングシステムのファイルマネージャーが表示されます。

  3. Selenium 認証情報 .side ファイルに移動して選択します。

    Tenable Web App Scanning によって認証情報ファイルがインポートされます。
アクティブなセッションを確認するためのページ

Tenable Web App Scanning が認証されたセッションを検証するために継続的にアクセスできる URL を入力します。
アクティブなセッションを確認するためのパターン

セッションが引き続きアクティブな場合のみウェブサイトに表示される単語、語句、または正規表現を入力します (たとえば、こんにちは、[ユーザー名] さんなど)。なお、先頭のスラッシュはエスケープされ、パターンの最初と最後に .* は必要ありません。

API キー認証

オプション アクション
認証方法 API キーを選択します。

ヘッダー

次を実行します。

  1. 最初のテキストボックスに、HTTP ヘッダーの名前を入力します。

  2. 2 番目のテキストボックスに、HTTP ヘッダーの値を入力します。

  3. (オプション) 追加 ボタンをクリックしてヘッダーを追加します。
アクティブなセッションを確認するためのページ

Tenable Web App Scanning が認証されたセッションを検証するために継続的にアクセスできる URL を入力します。
アクティブなセッションを確認するためのパターン

セッションが引き続きアクティブな場合のみウェブサイトに表示される単語、語句、または正規表現を入力します (たとえば、こんにちは、[ユーザー名] さんなど)。なお、先頭のスラッシュはエスケープされ、パターンの最初と最後に .* は必要ありません。

ベアラー認証

オプション アクション
認証方法 [ベアラー認証] を選択します。

ベアラートークン

ベアラートークンの値を入力します。

注意: ベアラートークン認証は、静的なベアラートークンが使用される場合に利用できます。別のログインプロセスの一部としてトークンが付与される場合は、Selenium、ログインフォーム、OAuth 認証情報のタイプの使用を検討してください。
Page to Verify Active Session (アクティブなセッションを確認するためのページ)

Tenable Web App Scanning が認証されたセッションを検証するために継続的にアクセスできる URL を入力します。
アクティブなセッションを確認するためのパターン

セッションが引き続きアクティブな場合のみウェブサイトに表示される単語、語句、または正規表現を入力します (たとえば、こんにちは、[ユーザー名] さんなど)。なお、先頭のスラッシュはエスケープされ、パターンの最初と最後に .* は必要ありません。