2013年5月22日水曜日

セキュリティスキャナーその1 - Security Scanner part 1

先の投稿「GeneXusにおけるWebアプリケーションセキュリティ対策 - OWASP 2010 Top10 Security Risks in GeneXus Applications」で出てきましたSecurity Scannerですが、これは開発したナレッジベースにセキュリティリスクの有無をチェックする為のGeneXusエクステンション(拡張モジュール)で、OWASP Top10 をベースにチェック・レポートしてくれます。
※[注意]現状はEvolution1のみ動作します。

1.Security Scannerのインストール


Security ScannerエクステンションはGeneXusマーケットプレイスからダウンロードできます。(GxTechnicalアカウントの登録が必要です)



インストールは他のエクステンションと同様にGeneXusの
「ツール」メニューから「エクステンションマネージャ」を開きます。


追加ボタンを押下するとダイアログか表示されますので、
「ローカル」タブをクリックし、インストールしたいDLLを選択します。

エクステンションの一覧に追加されますので、チェックをして「変更を適用」ボタンを押下します。

エクステンションのインストールの反映には再起動が必要です。
ここでYesをクリックして行う再起動では英語モードでGeneXusが起動されます。
この場合は起動後一旦GeneXusを終了させ、再度ショートカットから起動して下さい。

2.Security Scannerの実行


Security Scannerエクステンションをインストールすると、GeneXusのメニューバーに「Security」が追加されます。「Security」→「Open Security Scanner」を選択してください。



Security Scannerの画面

各セクションの説明は以下の通りです。

  • Scan : スキャン対象を指定します
    • Environment : 環境プロパティ (ルール#100と#105が対象)
    • Web Panels : Webパネル
    • Transactions : トランザクション
    • Procedures : プロシージャ
    • Attributes : 項目属性
    • Domains : ドメイン
  • Rules : チェックするルールを指定します。各ルールの説明は後ほどします。
  • Output : チェック結果の出力オプションです。
    • Only output objects with warning messages : ワーニングメッセージがあるオブジェクトのみ出力します。OFFだとスキャン対象のオブジェクト名をワーニングの有無にかかわらず全て出力します。
    • Excel file : Excelファイルに出力する事も可能です。出力ファイル名をフルパスで指定します。


スキャンしたいオブジェクトを直接右クリックし、コンテキストメニューからチェックを実行する事も可能です。


コンテキストメニュー


実はSecurity ScannerをインストールしてScanを実行すると以下の様なエラーになり実行出来ません。エラーの内容は"EPPlus.dll"が見つからないというものです。




EPPlusというのはExcel2007形式のファイルを読み書きするためのオープンソースライブラリです。GeneXusのインストールフォルダ内にもEPPlus.dllはあるのですが、SecurityScannerが要求するファイルバージョンが違う為、利用する事ができません。(SecurityScannerは3.0.0.2、GeneXusに添付されているのは3.0.0.1です)

GeneXusに標準添付のEPPlus.dll


EPPlus.dll Version3.0.0.2のダウンロードはこちらからできます。ダウンロード後、解凍したDLLをGeneXusのインストールディレクトリ(GeneXus.exeがあるフォルダ)にコピーします。これで実行できるようになります。

Security Scannerを実行すると出力ウインドウにスキャンした結果が表示されます。Excel fileをチェックしている場合は結果がExcelファイルに出力されます。





次回はSecurity Scannerで実装しているチェック対象ルールを説明します。


0 件のコメント:

コメントを投稿

フォルランがキーノートスピーカーに!! - GeneXusインターナショナルミーティング GX27

開催まであと2週間となりましたGeneXusインターナショナルミーティングですが、昨日公開されたスピーカーリストを見てびっくり! あのディエゴ・フォルランがキーノートスピーカーとしてエントリーされているではありませんか!! スゲーーー!! さすがGeneXus社、ITのカンファレ...