FAQ
L1 サポート向け FPT AppSec のよくある質問と回答です。
1. 製品概要
| # | 質問 | 回答 |
|---|---|---|
| 1.1 | FPT AppSec とは何ですか? | FPT AppSec は Application Security Posture Management (ASPM) プラットフォームです。ソースコード内の脆弱性 (SAST)、漏洩した secret、IaC の設定ミスを自動検出し、コードがマージされる前にセキュリティ品質を管理します。すべてのスキャン結果は一か所に集約され、セキュリティチームが監視・対応できます。 |
| 1.2 | FPT AppSec はどのようなスキャン種別をサポートしていますか? | 6 種類のスキャンをサポートしています: SAST (ソースコード解析)、Secret Scanning (漏洩した secret/credential の検出)、IaC Scanning (Infrastructure-as-Code の設定ミス検出)、Image Scanning (コンテナイメージの脆弱性検出)、API Scanning (API エンドポイントのセキュリティテスト)、SCA Scanning (サードパーティ/オープンソースコンポーネントの解析)。 |
| 1.3 | FPT AppSec の対象ユーザーは誰ですか? | ソフトウェア開発ライフサイクル (CI/CD pipeline) にセキュリティコントロールを組み込みたい DevSecOps チーム、Security Engineer、Developer です。 |
| 1.4 | FPT AppSec は同時にいくつの repository をスキャンできますか? | 複数の repository および複数の MR/PR リクエストを同時にスキャンすることをサポートしています。 |
| 1.5 | issue の重大度レベルはどのように分類されますか? | issue は 4 つのレベルに分類されます: Critical、High、Medium、Low。Critical から順に優先して対応してください。 |
| 1.6 | Image Scanning では何を確認しますか? | Image Scanning はコンテナイメージを解析し、イメージ内の OS パッケージやライブラリに含まれる脆弱性 (CVE) を検出します。 |
| 1.7 | API Scanning はどのように動作しますか? | API Scanning は DAST の手法を使用し、API エンドポイントに自動でリクエストを送信して、一般的なセキュリティ脆弱性 (インジェクション、認証の不備、データ漏洩など) をテストします。 |
| 1.8 | SCA Scanning では何を確認しますか? SBOM とは何ですか? | SCA Scanning はサードパーティおよびオープンソースの依存ライブラリを解析し、プロジェクト内の既知の CVE を検出します。結果には SBOM (Software Bill of Materials) — 検出されたすべての依存コンポーネントの完全なリスト — が含まれます。 |
2. CI/CD 連携
| # | 質問 | 回答 |
|---|---|---|
| 2.1 | FPT AppSec はどのように CI/CD と連携しますか? | CI/CD pipeline に直接埋め込む API/cURL 呼び出しを通じて連携します。スキャン種別ごとにサンプルスクリプト (cURL の例) が用意されているため、チームはすぐに統合できます。 |
| 2.2 | FPT AppSec はどの CI/CD プラットフォームをサポートしていますか? | API を通じて複数の CI/CD プラットフォーム (GitLab CI、Jenkins、GitHub Actions など) との連携をサポートしています。 |
| 2.3 | repository が Asset Management に表示されないのはなぜですか? | repository は少なくとも 1 回 — CI/CD pipeline またはポータルでの手動スキャン — スキャンされるまでシステムに表示されません。cURL スキャンを pipeline に追加してビルドを再実行するか、ポータルで直接手動スキャンを実施するようお客様に案内してください。 |
| 2.4 | スキャン結果はどこで確認できますか? | 結果は CI/CD pipeline の API レスポンスとして直接返されます。ポータルの Asset Management および Asset Detail → Overview タブ でも確認できます。 |
3. スキャンモード
| # | 質問 | 回答 |
|---|---|---|
| 3.1 | FPT AppSec にはどのようなスキャンモードがありますか? | 3 つのモードがあります: Full Scan (repository 全体をスキャン)、Commit Scan (特定のコミットをスキャン)、MR/PR Scan (Merge Request または Pull Request の変更範囲をスキャン)。 |
| 3.2 | Full Scan、Commit Scan、MR/PR Scan の違いは何ですか? | Full Scan は repository のソースコード全体をスキャンします。Commit Scan は特定のコミットの変更のみをスキャンします。MR/PR Scan は merge scan モードを使用して MR/PR の変更範囲に焦点を当て、マージ前のセキュリティ品質管理に適しています。 |
| 3.3 | MR/PR Scan をトリガーするにはどうすればよいですか? | merge scan モードの cURL スクリプトを CI/CD pipeline に追加してください。Code Scan と Secret Scan の merge モード用スクリプトが用意されています。 |
| 3.4 | スキャン結果はどこで確認できますか? | PASS/FAIL の結果は pipeline の API 経由で返されます。Security Gate が Active の場合、PASS/FAIL ステータスは Asset Management および Asset Detail にも表示されます。 |
4. Security Gate
| # | 質問 | 回答 |
|---|---|---|
| 4.1 | Security Gate とは何ですか? | MR/PR のスキャン結果を事前設定したしきい値と照らし合わせ、マージ前に MR/PR が PASS または FAIL すべきかを判定する自動制御の仕組みです。 |
| 4.2 | Security Gate では何を確認するよう設定できますか? | スキャン種別 (Code Analysis、Secret Scanning、IaC Scanning) ごと、および重大度レベル (Max Criticals、Max Highs、Max Mediums、Max Lows) ごとのしきい値を設定できます。 |
| 4.3 | しきい値が 0 の場合はどういう意味ですか? | 0 はその重大度レベルのすべての issue を ブロック することを意味します — 1 つでも issue があれば FAIL になります。フィールドを空白にすると、その条件は無視されます。 |
| 4.4 | Security Gate は新しい repository にも適用されますか? | はい。Security Gate が Active の場合、新たにスキャンされたすべての repository に自動的に Security Gate が適用されます。 |
| 4.5 | コードに問題がなさそうなのに MR/PR が FAIL するのはなぜですか? | Security Gate の設定を確認してください — しきい値が非常に厳しい設定になっている場合 (例: Max Criticals = 0) や、別のスキャン種別 (Secret、IaC) の issue がしきい値を超えている場合があります。pipeline またはポータルで詳細なスキャン結果を確認してください。 |
| 4.6 | Security Gate を無効にするにはどうすればよいですか? | Security Gate → Disable をクリック → ポップアップで確認 の手順で無効にします。無効化後、すべての MR/PR スキャンはしきい値チェックなしで PASS になります。 |
| 4.7 | Security Gate のしきい値を変更するにはどうすればよいですか? | Security Gate → Edit をクリック → しきい値と適用する repository リストを変更 → 保存します。 |
| 4.8 | Security Gate を特定の repository のみに適用できますか? | はい。Edit 画面で、Security Gate の適用リストから個別の repository を選択または除外することができます。 |
5. 結果の確認と issue の管理
| # | 質問 | 回答 |
|---|---|---|
| 5.1 | repository のすべての issue を確認するにはどうすればよいですか? | Asset Management で対象の repository を検索してクリックすると、対応する issue リストが表示されます。 |
| 5.2 | 各 repository の Security Gate ステータスはどこで確認できますか? | Asset Management および Asset Detail → Overview タブ に表示されます。 |
| 5.3 | issue にはどのようなステータスがありますか? | issue には 3 つのステータスがあります: Open (検出済み、未対応)、Ignored (FP) (False Positive としてマーク済み)、Ignored (Accepted Risk) (リスクを受容し、修正不要と判断)。 |
6. アクセスとアカウント
| # | 質問 | 回答 |
|---|---|---|
| 6.1 | FPT AppSec にアクセスできるのは誰ですか? | ポータルの IAM モジュールで FSP admin または FSP default 権限を持つユーザーのみが FPT AppSec にアクセスできます。権限のないユーザーには次のメッセージが表示されます: "You do not have sufficient permissions to view this page!" |
| 6.2 | お客様が Security Gate ボタンを確認できないと言っている場合、どうすればよいですか? | アカウントの権限を確認してください — Security Gate を表示・管理できるのは FSP admin アカウントのみです。FSP admin アカウントでサインインするようお客様に案内してください。 |
7. よくあるエラー
| # | 症状 | よくある原因 | 対処方法 |
|---|---|---|---|
| 7.1 | repository がシステムに表示されない | スキャンが一度もトリガーされていない | cURL スキャンを CI/CD pipeline に追加してビルドを再実行するか、ポータルで手動スキャンを実施する |
| 7.2 | MR/PR が常に FAIL になる | Security Gate のしきい値が厳しすぎる、または実際の issue が存在する | pipeline のスキャン結果ログを確認し、しきい値の設定を見直す |
| 7.3 | Security Gate の Enable/Edit ボタンが表示されない | 権限が不足している (FSP admin ロールがない) | FSP admin 権限を持つアカウントでサインインする |
| 7.4 | スキャンが結果を返さない | cURL スクリプトの設定が誤っているか、API エンドポイントが間違っている | cURL スクリプトを再確認し、エンドポイントと認証トークンが正しいことを確認する |
| 7.5 | システムに一般的なエラーが表示される | システムが一時的にビジー状態 | 数分後に再試行する。エラーが続く場合は L2 にエスカレーションする |