Créer un examen (configuration complète)

Fournissez l'URL de départ et les données d'identification de l'utilisateur pour l'examen, sélectionnez le type de site, puis (à défaut) vérifiez votre droit à examiner le site.

Avant de commencer

Procédure

  1. Sur la page Application spécifique, cliquez sur Créer un examen, puis sélectionnez Dynamique (DAST) pour ouvrir l'assistant.
  2. Cliquez sur Nouvel examen.
    Cliquez sur les panneaux pour indiquer des valeurs ou modifier les paramètres selon vos besoins. Dans de nombreux cas, les valeurs par défaut sont suffisantes. Lorsque vous avez terminé, cliquez sur Examen.
  3. Cibles : URL de départ et domaines

    Vous devez saisir l'URL de départ pour l'examen.

    Paramètre

    Options

    URL de départ
    Zone d'URL
    Entrez l'URL à partir de laquelle l'examen doit commencer. Pour les API Web, il n'y a pas d'URL de départ. Saisissez n'importe quelle URL valide dans le domaine du service que vous souhaitez examiner.
    Analyser le site de démonstration
    Cliquez sur ce lien pour renseigner l'URL du site de démonstration AppScan. Vous pouvez ainsi exécuter un examen sans vérification de domaine. Dans l'onglet Connexion, saisissez le Nom d'utilisateur JSmith et le Mot de passe Demo1234.
    Remarque : L'exécution d'un examen du site de démonstration n'est pas prise en compte dans votre limite de licence tant que vous utilisez l'adresse URL complète fournie. Si vous retirez le commutateur ?mode=demo, l'examen est comptabilisé dans votre nombre maximal de travaux.
    Inclure uniquement les liens dans et sous ce répertoire
    Cochez cette case pour exclure tout domaine externe, parallèle ou secondaire pouvant être détecté en tant que liens lors de l'examen. Lorsque cette case est décochée, l'examen peut inclure des domaines autres que ceux de l'URL de départ .

    Domaines à tester

    Répertorie tous les domaines à inclure dans l'examen. L'URL de départ que vous saisissez est ajoutée ici automatiquement.

    Si votre site comprend des domaines autres que ceux de l'URL de départ et que vous souhaitez les examiner, cliquez sur Ajouter un autre domaine pour les ajouter.

    Remarque : L'option permettant de sélectionner l'environnement de transfert ou de production a été récemment supprimée car elle n'est plus nécessaire. Pour plus d'informations, voir Pourquoi ne puis-je plus indiquer que l'environnement doit être Transfert ou Production ?.
  4. Authentification et connectivité : Gestion de connexion

    Par défaut, la connexion n'est pas requise.

    Laissez cette sélection telle qu'elle est si :
    • Aucune connexion/autorisation n'est requise, ou
    • (API Web) L'autorisation utilise une valeur fixe ou à long terme, telle qu'une clé API ou un jeton porteur fixe.

    Paramètre

    Options

    Connexion
    Connexion requise : Nom d'utilisateur et mot de passe
    Indiquez si AppScan 360° peut se connecter, si besoin, à l'aide des informations d'identification, mais sans procédure spéciale. Vous pouvez également saisir une troisième information d'identification (facultative). Par exemple : PIN# = 1234. Cependant, l'utilisation d'une troisième information d'identification nécessite l'intervention de l'équipe de support d'AppScan 360°, et l'examen peut prendre plus de temps.
    Remarque : CAPTCHA non pris en charge.
    Conseil : AppScan 360° recommande d'utiliser les informations d'identification de test plutôt que celles d'un utilisateur réel.
    Cette option n'est pas pertinente pour les API Web.
    Connexion requise : Connexion enregistrée
    Si une procédure de connexion spéciale est nécessaire, sélectionnez cette option pour charger un enregistrement de la procédure à utiliser par AppScan 360° chaque fois qu'il doit se connecter aux applications lors de l'examen. Vous pouvez procéder à cet enregistrement à l'aide d'AppScan Activity Recorder (enregistré en tant que fichier CONFIG) ou d'AppScan Standard (exporté en tant que fichier LOGIN).
    Important : La séquence de connexion enregistrée doit contenir les requêtes suivantes :
    • Requête de connexion/d'autorisation
    • Demande supplémentaire connectée/autorisée. Cette requête « supplémentaire » aide AppScan à identifier une autorisation réussie et à maintenir la session lors du test de l'application.

    Pour plus d'informations sur l'enregistrement d'un fichier CONFIG ou LOGIN, consultez Enregistrement du trafic et Enregistrement de la connexion à l'aide d'AppScan Standard.
  5. Authentification et connectivité : Authentification HTTP

    En plus des informations de connexion, indiquez si l'application exige une authentification HTTP (Negotiate, NTLM, Kerberos, ADFS, Basic ou Digest). Saisissez le Nom d'utilisateur, le Mot de passe et le Domaine (facultatif) à utiliser par AppScan 360° lors de l'examen.

  6. Authentification et connectivité : Mot de passe à usage unique

    Si votre site requiert un mot de passe ponctuel pour permettre aux utilisateurs de se connecter (MFA), cochez cette case et renseignez les quatre premiers champs de la boîte de dialogue.

    Paramètre

    Options

    Utiliser un mot de passe à usage unique et à durée limitée
    • Clé secrète
    • Longueur du mot de passe à usage unique (nombre de chiffres)
    • Algorithme de hachage utilisé (sélectionner dans la liste déroulante)
    • Etape de temps (en secondes)
    Remarque : TOTP est le seul OTP pris en charge dans cet assistant. Pour plus d'options OTP, vous pouvez configurer un examen dans AppScan Standard et le charger vers AppScan 360°. Lors de la configuration d'un examen dans AppScan Standard avec OTP, vous devez utiliser la connexion basée sur les actions, et non la connexion basée sur les demandes. Pour plus d'informations, consultez la documentation AppScan Standard.
  7. Authentification et connectivité : Communication

    Définissez le nombre maximal de requêtes qu'AppScan 360° peut envoyer simultanément au site.

    Paramètre

    Options

    Nombre d'unités d'exécution

    Réduisez la limite si votre site n'autorise pas ce nombre. Si votre site n'autorise pas les threads simultanés, réduisez la limite à 1.

    Délai d'attente de communication avec le serveur
    Ajuster automatiquement pendant l'examen
    Permettez à AppScan 360° de décider de la durée d'attente d'une réponse particulière avant la fin du délai d'attente. Cela peut considérablement réduire la durée de l'examen.
    Corrigé
    Définissez le délai maximal durant lequel AppScan 360° attend une réponse. Augmentez ce paramètre si les réponses de votre site sont lentes et qu'AppScan 360° manque des réponses en raison du court délai d'attente.

    Limite de taux de requête

    Par défaut, AppScan 360° envoie ses demandes au site aussi rapidement que possible. Si cette limite risque de surcharger votre réseau ou serveur, vous pouvez la réduire.
  8. Authentification et connectivité : Explorer

    Définir la manière dont AppScan 360° explore le site pendant l'examen.

    Paramètre

    Options

    Remplissage automatique de formulaires
    AppScan 360° utilise les valeurs par défaut des paramètres de remplissage de formulaire AppScan Standard pour remplir et soumettre des formulaires sur le site.
    Important : Si vous examinez un site de production en direct, nous vous recommandons de désactiver cette fonction. Pour plus d'informations, reportez-vous à Quelles modifications dois-je apporter lors de l'examen d'un site de production opérationnel ?
    Remarque : Si vous désactivez le remplissage et l'examen automatiques des formulaires AppScan 360°, toutes les informations renseignées dans les formulaires seront supprimées, à l'exception des données de gestion de connexion. AppScan ne remplit pas les formulaires automatiquement pendant le balayage. Lorsque vous importez cet examen dans AppScan Standard, le remplissage automatique du formulaire est activé, mais les données de remplissage du formulaire, à l'exception de la gestion des connexions, sont vides.

    Type
    Explorer automatiquement
    AppScan explore automatiquement l'application web, à partir de l'URL de départ, afin de détecter les pages qu'il testera. Cette option n'est pas pertinente pour les API Web. Privilégiez l'option suivante.
    Explorer en étant guidé
    Chargez votre propre phase d'exploration enregistrée pour qu'AppScan la teste. Vous pouvez l'utiliser seule ou en plus d'une phase d'exploration automatique.
    Pour plus d'informations sur les deux types d'exploration, consultez A propos de l'analyse dynamique (DAST)

    Explorer en étant guidé

    		 Cette section est uniquement active si vous avez sélectionné Explorer avec guide.

    Charger l'enregistrement

    Chargez un ou plusieurs fichiers de trafic DAST.CONFIG. Pour plus d'informations sur cet enregistrement, voir Enregistrement du trafic. Pour les API Web, la meilleure option est généralement le HCL AppScan Traffic Recorder.

    Paramètres de fichier

    Si les requêtes de votre fichier de trafic doivent être envoyées dans l'ordre spécifique que vous avez enregistré, activez Plusieurs étapes. Cette méthode augmente considérablement la durée de l'examen et dès lors, ne l'utilisez qu'en cas de nécessité. Pour comprendre la différence entre Plusieurs étapes et Explorer avec guide, reportez-vous à Explorer avec un guide.

    Pour activer Plusieurs étapes :
    • Pour chaque enregistrement chargé, cliquez sur le nom de fichier et basculez l'option Activer plusieurs étapes sur Activé.
    Comment utiliser l'enregistrement
    Utilisez l'exploration enregistrée en plus d'une phase d'exploration entièrement automatique, et testez le tout.
    AppScan 360° exécute sa propre phase d'exploration pour découvrir l'application et la teste en fonction de ces résultats et du fichier de trafic que vous avez chargé. Cette option n'est pas pertinente pour les API Web. Privilégiez l'option suivante.
    Ne testez et n'analysez que l'exploration enregistrée
    AppScan 360° traite le fichier chargé comme la phase d'exploration pour l'examen. Il analyse et crée des tests pour le trafic enregistré uniquement, puis les teste. Il n'y aura pas de phase d'exploration automatique.
  9. Tests : Stratégie de test et optimisation

    AppScan 360° applique la stratégie de test par défaut AppScan Standard aux examens. L'assistant ne permet pas de modifier ce paramètre.

    Paramètre

    Options

    Stratégie de test
    Vous pouvez appliquer une stratégie de test différente en configurant l'examen dans AppScan Standard, ou via l'API. La stratégie de test ne peut pas être modifiée dans l'assistant.
    Conseil : La stratégie de test est différente de la stratégie d'application.

    Optimisation des tests

    Sélectionnez le niveau de compromis entre la vitesse de l'examen et la couverture des problèmes pour vos besoins. Le curseur propose quatre niveaux. La valeur par défaut est Rapide. Pour plus d'informations, reportez-vous à Optimisation du test.
    Tests de connexion/déconnexion Choisissez si vous souhaitez envoyer des tests sur les pages de connexion et de déconnexion. Si vous choisissez d'envoyer des tests sur les pages de connexion, indiquez si vous souhaitez envoyer des identificateurs de session.
  10. Tests : Options de test

    Choisissez si vous souhaitez envoyer des tests sur les pages de connexion et de déconnexion. Si vous choisissez d'envoyer des tests sur les pages de connexion, indiquez s'il faut envoyer des identifiants de session.

  11. Préférences : Planifier

    Spécifiez quand l'analyse doit s'exécuter : maintenant, plus tard ou selon un calendrier.

    Paramètre

    Options

    Examiner maintenant

    Votre examen s'exécute une fois la configuration et la révision terminées.

    Enregistrer pour plus tard

    Votre configuration est enregistrée une fois terminée. Vous pouvez exécuter l'examen ultérieurement.
    Planifier
    Votre configuration est enregistrée et un ou plusieurs examens s'exécutent comme configuré :
    1. Sélectionnez une date et une heure. Saisissez-les en fonction du fuseau horaire configuré sur votre ordinateur, mais notez que les heures seront converties en UTC lorsqu'elles seront affichées dans l'interface utilisateur.
    2. Pour exécuter l'examen plusieurs fois, sélectionnez Répéter, puis choisissez :
      • Tous les jours et sélectionnez un intervalle quotidien (de 1 à 30 jours)
      • Toutes les semaines, et sélectionnez le jour, ou
      • Tous les mois, sélectionnez un intervalle mensuel, puis sélectionnez le jour numérique du mois ou le jour de la semaine du mois (premier, deuxième, troisième, quatrième, dernier).
      Remarque : Si le nombre maximal d'examens simultanés est en cours d'exécution à heure planifiée, l'examen démarre dès que votre abonnement le permet.
    3. Définissez la date de fin (date de dernière exécution d'un examen) ou cliquez sur Supprimer la date de fin pour que le planning s'exécute indéfiniment.
  12. Préférences : options d'examen
    Dans le volet Options d'examen, vous pouvez :
    • Choisir d'exécuter l'examen en tant qu'examen personnel.
    • Choisir de recevoir un courrier électronique à la fin de l'examen.
  13. Récapitulatif

    Modifiez le nom de l'analyse, si vous le souhaitez, et examinez les paramètres sélectionnés pour l'analyse. Cliquez sur les panneaux précédents pour effectuer des modifications si nécessaire.

  14. Cliquez sur Examen.

Résultats

Le nouvel examen est ajouté à la vue Examens avec son heure de démarrage, et une barre de progression indique que l'examen est en cours d'exécution. Une fois l'examen terminé, la barre de progression se ferme, les résultats sont résumés dans un graphique et (si l'option est sélectionnée), vous recevez une notification par e-mail. Voir Résultats.