Nouveautés d' HCL AppScan 360°

Découvrez les nouvelles fonctions qui ont été ajoutées à HCL AppScan 360° et notez les fonctions et fonctionnalités devenues obsolètes dans cette édition.

Nouveautés de HCL AppScan 360° version 2.2.0

Assistant IA

Présentation de l'Assistant IA ASoC, une couche d'intelligence intégrée qui améliore votre interaction avec vos données de sécurité. L'Assistant IA agit comme un partenaire sophistiqué qui exploite les renseignements de sécurité pour fournir des informations approfondies et exploitables sur l'ensemble de votre portefeuille d'applications. En analysant votre historique d'examens et votre contexte de données spécifiques en temps réel, l'Assistant vous aide à accélérer les flux de travaux de triage et de correction ainsi qu'à mieux comprendre votre posture de sécurité.

  • Analyse les conclusions dans l'ensemble de votre organisation pour fournir un contexte de haut niveau, vous aidant à comprendre les raisons qui se cachent derrière vos risques.
  • Réduit le temps de triage grâce à des recommandations basées sur l'IA. L'Assistant vous aide à classer les conclusions en fonction de leur impact réel sur votre environnement et peut mettre à jour directement les statuts des incidents.
  • Fournit des suggestions de code pour aider votre équipe à combler plus rapidement les failles de sécurité.
Remarque : L'Assistant IA se concentre sur la récupération de données, la génération de connaissances et la prise en charge du triage. Il n'exécute pas automatiquement les examens pour le moment.

Mises à jour de l'expérience utilisateur

  • Menu utilisateur repensé : La page Clé d'API est déplacée vers Paramètres du compte, dans le menu utilisateur.
  • Le menu de navigation latéral est désormais aligné sur les améliorations récentes du produit.
  • Champs de problème personnalisés :
    • Les champs personnalisés offrent une vue plus granulaire et personnalisée pour soutenir vos flux de travaux et votre prise de décision. Cela vous donne plus de flexibilité pour catégoriser, filtrer et étiqueter les problèmes. Ajoutez des attributs aux problèmes pour rationaliser vos flux de travaux et améliorer la communication entre les équipes.
    • Les champs de problème personnalisés peuvent être mis à jour pour plusieurs problèmes à la fois, directement à partir de la grille.
    • Activez ou désactivez l'inclusion de champs personnalisés dans les rapports de sécurité.
  • Page Application : Mettez en évidence les applications à l'aide d'étoiles afin de faciliter leur identification.
  • Améliorations des champs d'application personnalisés : Ajout d'options de filtrage pour vous aider à trouver des applications qui incluent des champs personnalisés.

Mises à jour de la plateforme :

  • Nouveau champ de description d'examen ajouté. Utilisez ce champ pour ajouter plus de contexte à vos examens. Il fournit une granularité supplémentaire et vous aide à trouver des examens spécifiques plus facilement.
  • La page Rôles a été repensée.
    • Convivialité améliorée grâce au regroupement des autorisations et à la simplification des flux de travaux de personnalisation.
    • Autorisation relative au statut des problèmes : Ajout d'une autorisation permettant uniquement à certains utilisateurs de fermer les problèmes, tandis que d'autres peuvent mettre à jour le statut du problème uniquement sur « ouvert » ou « en cours ».
  • Examens et sessions : Mise à jour des métriques pour administrateurs sur la page principale des examens et des sessions, en fonction de chaque technologie.
  • Gestion des clés d'API : Les administrateurs et les gestionnaires peuvent désormais afficher et révoquer les clés API pour n'importe quel utilisateur. La sécurité a également été améliorée pour la génération et la révocation de la propre clé d'API d'un utilisateur.
  • Suppression en masse des examens : Les administrateurs et les gestionnaires peuvent désormais supprimer plusieurs examens simultanément, ce qui permet de rationaliser le nettoyage manuel lorsque les applications l'exigent.

Rapports et stratégies de conformité :

Améliorations RapidFix

  • Résoudre les problèmes plus facilement : L'assistance à la résolution des problèmes est désormais visible immédiatement sans que vous ayez à développer un panneau. En outre, le rendu Markdown facilite grandement la lecture des instructions complexes.

Analyse dynamique (DAST)

  • mise à jour du moteur d'analyse dynamique vers la version 10.11.0. Cette mise à jour comprend les améliorations suivantes :
    • AppScan signale les protocoles de chiffrement hérités qui ne répondent pas aux normes de sécurité post-quantiques.
    • Améliorations de la connexion automatique, notamment la prise en charge du framework Vue JS.
  • Une alerte de type « Information » sera générée lors de la découverte d'un fichier de définition Swagger/OpenAPI afin d'assurer la visibilité des API.
  • Nouvelles règles de sécurité et règles de sécurité mises à jour.
  • Modifiez un examen créé à l'origine à partir d'un fichier d'examen téléchargé.
  • Mise à jour du fournisseur IA (ID de déploiement) : Standardisation du format Azure OpenAI.
  • Retest DAST uniquement : Lors d'un nouvel examen, vous pouvez désormais sélectionner retester uniquement pour réduire la durée d'examen lorsque les données d'exploration restent les mêmes.

Analyse interactive (IAST)

  • Nouvel agent IAST Python (1.0.1)
    • IAST prend désormais en charge les applications Python via un agent Python dédié. L'agent prend en charge les serveurs Web Python 3.10+ et Flask. La validation montre une couverture de 100 % du benchmark Python OWASP.
    • Accessibilité SCA : L'agent Python IAST peut signaler lorsqu'une fonction vulnérable est appelée pendant l'exécution, aidant ainsi les équipes à hiérarchiser les résultats SCA en fonction de l'utilisation réelle de l'application. Il prend en charge environ 100 CVE, y compris les 20 packages PyPI les plus téléchargés.
  • IAST pour Kubernetes (1.0.14)
    • Indiquez explicitement la configurationreadOnlyRootFilesystem et automountServiceAccountToken.
    • Activez l'installation dans un espace de noms Secagent préexistant pour les environnements Kubernetes restreints ou gérés.
    • Ajout du support pour la connexion de différents espaces de noms à différentes sessions IAST
  • Agent IAST Node.js (1.15.0)
    • Prise en charge des clients utilisant la structure LangChain pour la création d'applications alimentées par LLM. Pour plus d'informations, voir IAST LLM :. Sécurité au point d'impact.
    • Mises à jour des versions des dépendances.
    • Correctifs de bogues.
    • Ajout d'informations sur l'hôte et le domaine aux problèmes.
  • Agent IAST PHP (1.3.0)
    • Ajout de la prise en charge de PHP 8.4 sur Ubuntu.
    • Ajout de la prise en charge de PHP 8.2 et 8.3 sur RedHat 9.
    • Corrections de bogues et détection XSS améliorée
  • Agent IAST Java (1.23.0)
    • Encombrement mémoire réduit
    • Ajout d'informations sur l'hôte et le domaine aux problèmes
  • Agent IAST .NET (1.17.0)
    • Correction de bogues .NET Framework
    • Ajout d'informations sur l'hôte et le domaine aux problèmes.

Software Composition Analysis (SCA)

  • Règles SCA : Définissez des règles personnalisées pour les bibliothèques open source en fonction de la licence et des attributs de licence. Les règles sont évaluées sur la dernière exécution d'examen, ce qui aide les équipes à surveiller et à appliquer les exigences de conformité open source.
  • Téléchargement des journaux SCA : Téléchargez les fichiers journaux des examens directement à partir du menu Gérer l'examen. Les journaux contiennent des informations issues de la phase de génération de fichiers IRX et de collecte de données, et sont disponibles pendant 60 jours.
  • Prise en charge de CycloneDX pour les rapports SBOM : Générez des rapports SBOM en utilisant le format CycloneDX populaire, en XML ou JSON.
  • Accessibilité au niveau de la fonction :
    • En utilisant IAST, vous pouvez désormais signaler lorsqu'une fonction vulnérable est appelée pendant l'exécution. Cela aide les équipes à hiérarchiser les résultats SCA en fonction de l'utilisation réelle de l'application.
    • Prise en charge de Python.

Analyse statique (SAST)

  • Mise à jour du client d'analyse statique vers la version 8.0.1725.
  • Prise en charge des fichiers F# .fsproj pour l'analyse SCA (correction de bogues).
  • Prise en charge de Delphi avec Object Pascal.
  • Prise en charge de MuleSoft.
  • Amélioration des performances de balayage des secrets.
  • RapidFix : Acquis utilisateur amélioré
  • L'analyse de plusieurs langues clés utilise désormais notre moteur de nouvelle génération. Cette mise à jour lance officiellement la prise en charge de PHP et complète la migration pour C, C++, HTML, JavaScript et TypeScript. Le nouveau moteur offre une précision accrue et des informations de sécurité plus exploitables. En savoir plus.
  • Configuration simplifiée pour l'analyse des flux de données .NET.
  • Prise en charge du gestionnaire de package UV Python pour l'analyse de la composition logicielle (SCA).
  • Mises à jour des règles.

Plug-ins

  • Une nouvelle intégration pour Azure DevOps Boards est désormais disponible. Cette intégration vous permet d'importer les problèmes de sécurité d'AppScan on Cloud directement dans Azure Boards.
  • Une nouvelle intégration pour les flux de travaux CI/CD Bitbucket est maintenant disponible. Cette intégration vous permet d'incorporer des tests de sécurité des applications statiques (SAST) et des analyses de la composition logicielle (SCA) directement dans vos pipelines.
  • Une nouvelle intégration pour Eclipse est maintenant disponible. Cette intégration vous permet de vous connecter en toute transparence à HCL AppScan on Cloud et HCL AppScan 360°, permettant ainsi aux équipes de développement d'identifier, de hiérarchiser et de corriger les vulnérabilités de sécurité sans quitter leur environnement de développement.
  • Le plug-in AppScan Eclipse v2.1.0 est maintenant disponible. Cette mise à jour introduit le développement local avec prise en charge hors ligne de CodeSweep, ce qui offre un examen automatique à l'enregistrement, des corrections automatiques en un clic, une gestion des règles personnalisable et un marquage persistant du bruit. Elle accélère également le débogage grâce à une arborescence interactive de visualisation des flux de données codée par couleur (avec fonctionnalité de clic de navigation), et intègre de manière transparente des liens de formation CMD+CTRL sans configuration directement dans vos conseils de correction en fonction des paramètres de votre locataire.

Nouveautés de HCL AppScan 360° version 2.1.0

⚠️Action requise avant la mise à niveau : Reportez-vous aux étapes supplémentaires importantes relatives à la passerelle avant de procéder à la mise à niveau vers AppScan 360° 2.1.0.

La conformité FIPS 140-3 est désormais assurée via les images de base Red Hat Enterprise Linux (RHEL). Pour maintenir ce niveau de conformité, un environnement Red Hat Enterprise sous licence est requis pour le déploiement.
Remarque : Le téléchargement de AppScan 360° version 2.1.0 conforme FIPS 140-3 est disponible exclusivement sur Four.

Installation :

  • AppScan 360° Assistant de configuration : Script autonome qui valide la validation des conditions préalables d'AppScan 360°, vérifie l'état de préparation du système et prend en charge le débogage post-installation via un pod de débogage dédié.
  • Installation d'une machine virtuelle unique :
    • L'installation d'une machine virtuelle unique est désormais possible sur RHEL et Ubuntu
    • Prise en charge de l'installation de DPR en option en mode production
  • Prise en charge du registre local pour les installations basées sur Helm : Les installations basées sur Helm prennent désormais en charge les registres locaux pour l'hébergement des images, éliminant ainsi la nécessité d'une connexion Internet constante.

Améliorations de la plateforme

Connaissances IA

  • Le serveur AppScan Model Context Protocol (MCP) peut désormais être utilisé avec votre LLM pour accéder en toute sécurité à vos données de sécurité dans AppScan 360°. En y accédant via votre IDE, vous pouvez obtenir des informations sur vos données, les connecter à d'autres MCP pour les intégrations et utiliser les fonctionnalités LLM pour suggérer le triage et la correction du code en utilisant le contexte des résultats de AppScan 360°.

Interface utilisateur et navigation

  • Page d'accueil et vue Examens : La nouvelle page AppScan 360° d'accueil vous donne un aperçu rapide de vos applications et examens récents. La page Examens et sessions a également été repensée, et inclut désormais une vue unifiée pour toutes les technologies d'examen ainsi qu'un nouvel agencement de la table facilitant le filtrage et le tri.
  • Interface de groupe de correctifs : Entièrement repensée et plus conviviale, la nouvelle interface facilite la compréhension des problèmes groupés, la navigation dans les résolutions et la gestion efficace des correctifs.
  • Améliorations générales de l'expérience utilisateur : Vous remarquerez des temps de chargement des pages plus rapides, une navigation plus précise dans le fil d'Ariane ainsi que de nouveaux graphiques et couleurs pour une meilleure accessibilité.
  • Améliorations du SAST : Vous pouvez maintenant effectuer une recherche directement dans les menus déroulants Référentiel GitHub et branche.

Gestion des données, rapports et notifications

  • Notifications par e-mail : Vous pouvez désormais configurer les préférences de messagerie de manière centralisée. Les utilisateurs peuvent choisir d'envoyer des alertes pour des applications spécifiques ou des groupes d'actifs entiers. Personnalisez les déclencheurs pour le début, la fin et l'échec de l'examen afin de recevoir uniquement les mises à jour pertinentes. Cette fonction remplace la configuration par examen précédente. Les notifications mises à jour fournissent un résumé concis de l'examen HTML directement dans les boîtes de réception des utilisateurs, y compris le nombre de niveaux de gravité et les détails du statut.
  • Corrélations d'examens : Le moteur de corrélation a été mis à jour pour identifier avec succès les liens entre les résultats de l'analyse interactive (IAST) et les résultats du code source de l'analyse statique (SAST).
  • Exportations de données et champs personnalisés : L'option « Exporter les données d'examen » est désormais disponible pour tous (et pas seulement pour les administrateurs). En outre, les champs d'application personnalisés sont désormais inclus dans les exportations CSV et affichés dans les rapports de sécurité générés.
  • Rapports et stratégies de conformité :
  • Nouveaux rapports de conformité :
    • Top 10 OWASP pour les applications LLM 2025
    • [Canada] Gestion des risques de sécurité informatique : Une approche du cycle de vie (ITSG-33)
  • Rapports de conformité mis à jour :
    • Norme internationale - ISO 27001:2022
    • Norme internationale - ISO 27002:2022
    • The Payment Card Industry Data Security Standard (PCI DSS) – V4.0.1
    • Publication spéciale NIST 800-53 - 5.2.0
    • [UE] Règlement général sur la protection des données (RGPD)
    • [US] Health Insurance Portability and Accountability Act (HIPAA)
  • Avis sur les formats : La prise en charge du format de fichier SVG pour les logos de rapport est arrêtée.

Gestion des utilisateurs et identité

  • SSO Ping Identity : AppScan 360° Prend désormais entièrement en charge Ping Identity, offrant une authentification unique (SSO) transparente pour une expérience d'authentification améliorée.
  • Groupes d'actifs : Vous pouvez désormais modifier des groupes d'actifs par utilisateur via la page de gestion des utilisateurs.

API et automatisation

  • Utilisateur fonctionnel : Ajout de la possibilité de créer un compte de service pour faciliter les tâches automatisées et les intégrations système. Disponible via l'API uniquement.
  • Authentification de clé d'API : L'authentification de clé d'API directe via un en-tête HTTP personnalisé élimine le besoin de jetons de session, ce qui rend les scripts d'automatisation et les intégrations CI/CD plus simples et plus efficaces.
  • Créer une API d'examen : Le paramètre booléen « MultiStep » est obsolète et sera supprimé dans une future version. Mettez à jour vos appels d'API maintenant pour utiliser le paramètre « TrafficType » à la place, en préparation de la suppression de « MultiStep ». Pour plus d'informations, voir la page Swagger <your-appscan-360-server>/swagger/index.html#/Scans/Scans_CreateDastScan.

Plug-ins et intégrations

De nouveaux plug-ins et intégrations sont désormais disponibles et sont accessibles depuis la page d'intégration :
  • Slack : Recevez des alertes de sécurité AppScan 360° et des notifications d'examen dans vos canaux Slack.
  • Splunk : Connectez AppScan 360° à Splunk pour bénéficier d'une visibilité centralisée sur les données d'examen via des analyses et des tableaux de bord.
  • Cursor AI : Intégrez à AppScan CodeSweep pour identifier et corriger les vulnérabilités pendant le codage assisté par l'IA.

Dynamic Analysis (DAST)

IA et balayage avancé

  • DAST pour les applications augmentées par LLM : Testez et protégez dynamiquement votre entreprise contre les risques liés au grand modèle linguistique (LLM) avec AppScan DAST, spécialement conçu pour identifier les vulnérabilités critiques telles que la divulgation d'informations sensibles, l'injection d'invite et bien plus encore avant que les pirates ne les exploitent. Pour plus d'informations, voir le blog.
  • AppScan Presence : Balayage sécurisé des applications privées.
    • Comble le fossé : Permet d'examiner les applications internes protégées par un pare-feu en créant un tunnel sécurisé vers votre réseau privé.
    • Intégration DevSecOps : Intègre de manière transparente les contrôles de sécurité dans vos flux de travaux de test fonctionnel existants pour une couverture plus approfondie.

Flux de travaux d'examen et contrôles d'exécution

  • Modification de la configuration DAST : Vous pouvez désormais modifier la configuration des examens pour les examens DAST terminés ou ayant échoué, ce qui vous permet de relancer l'examen avec une configuration modifiée.
  • Exclure des chemins d'accès : Lors de l'examen des API, vous pouvez configurer AppScan pour ignorer certains chemins dans l'application, comme lors de l'examen d'applications Web.
  • Reprendre l'examen : Dans certains cas, vous pouvez maintenant reprendre des examens ayant échoué ou partiellement terminés. Cette fonction améliore le processus d'examen en vous permettant de reprendre là où l'examen s'est arrêté une fois les limitations précédentes résolues, permettant ainsi d'économiser du temps et des ressources.

Gestion unifiée des modèles

  • Contrôle centralisé :Gérez les modèles DAST dans AppScan 360° pour contrôler et accélérer les configurations DAST. Les modèles peuvent être personnalisés et affectés à des groupes d'actifs selon les besoins.
  • Télécharger et remplacer :Option permettant de télécharger le modèle et de remplacer un fichier modèle existant par une configuration mise à jour.
  • Vérification préalable à l'examen : Après avoir téléchargé un modèle sur AppScan 360°, vous pouvez vérifier et modifier sa configuration avant d'exécuter l'examen.

Mise à niveau du moteur (v10.10.0)

Le moteur DAST sous-jacent a été mis à jour, apportant plusieurs améliorations essentielles :
  • Connexion automatique plus intelligente : AppScan explore désormais les applications Angular de manière plus fiable, corrige les rares échecs d'enregistrement de connexion et ajoute un délai intelligent lors des deuxièmes tentatives après un échec de lecture, améliorant ainsi le taux de réussite global.
  • Prise en charge SPA améliorée : Amélioration de l'exploration et du balayage pour les applications monopages (SPA) en utilisant la structure AngularJS.
  • Meilleur masquage des données : Fonctionnalités de masquage améliorées sur l'ensemble de la plateforme pour une protection plus cohérente des informations sensibles.
  • Mises à jour des règles : Nouvelles règles de sécurité et règles de sécurité mises à jour

Static Analysis (SAST)

Résolution basée sur L'IA

  • HCL AppScan RapidFix : Désormais intégré à l'interface utilisateur AppScan 360°, HCL AppScan RapidFix exploite l'IA agentique pour analyser les résultats et le code source associé à partir des examens de sécurité, fournir des recommandations de triage et de correction intelligentes et, si possible, générer des correctifs automatisés qui s'intègrent de manière transparente à votre plateforme de gestion du code source basée sur Git. RapidFix est disponible sous forme d'abonnement supplémentaire. En savoir plus.

Prise en charge étendue de la langue et de la structure

  • Ajout de la prise en charge de Java 25 et de .NET 10
  • L'analyse statique peut désormais traiter les fichiers .mjs dans le cadre de la prise en charge de JavaScript.
  • Prise en charge pour la structure Flutter dans le cadre de la prise en charge de Dart.

Rapports et diagnostics

Mises à jour du client, des outils et du noyau

  • Mises à jour des règles.
  • AppScan Go! mis à jour vers la version 2.3.1 :
    • La nouvelle procédure d'installation permet une détection de service plus intelligente.
    • AppScan Go! détecte et renseigne désormais automatiquement l'URL de service correcte lors de la connexion.
    • Les fichiers SCA spécifiés pour le balayage n'affichent plus de chemins absolus.
    • Améliorations de l'interface utilisateur.
  • Mise à jour du client d'analyse statique vers la version 8.0.1685.

Software Composition Analysis (SCA)

  • Détection intégrée des logiciels malveillants : Le nouveau moteur SCA d'AppScan intègre désormais des fonctions de balayage des logiciels malveillants. Il analyse automatiquement vos composants open source et tiers, à la recherche de packages malveillants ou compromis connus. Cela permet à vos équipes d'identifier et d'atténuer les risques critiques liés à la chaîne logistique beaucoup plus tôt dans le cycle de vie du développement. (Remarque : Toutes les bibliothèques malveillantes détectées seront également signalées directement dans votre rapport de licence open source.)
  • Le système EPSS (Exploit Prediction Scoring System) est disponible pour de nouveaux examens, ce qui permet une hiérarchisation plus intelligente des vulnérabilités en fonction de la probabilité d'exploitation réelle. Le score EPSS et le percentile sont répertoriés dans le volet Détails pour les problèmes SCA. Pour plus d'informations, voir EPSS.
  • L'onglet Piste d'audit pour les bibliothèques open source fournit des informations claires sur toutes les actions et modifications liées à chaque bibliothèque, ce qui permet aux équipes de suivre l'historique, de maintenir la conformité et d'améliorer la responsabilité.

Analyse interactive (IAST)

Tests d'IA générative

AppScan intègre désormais la prise en charge des tests d'IA générative. L'agent IAST surveille la sortie du grand modèle linguistique (LLM) et indique si l'application s'appuie sur la sortie de l'IA générative sans la valider, la contraindre ou l'assainir correctement avant que le système ne l'utilise dans des contextes sensibles à la sécurité. Actuellement, les API OpenAI sont prises en charge dans Java, .NET et Node.js.

  • Agent Node.js : Prise en charge de la surveillance par IA générative : openai, LangChain
  • Agent Java : Prise en charge de la surveillance par IA générative : openai-java
  • Agent .NET : Prise en charge de la surveillance par IA générative : OpenAI

Déploiements de Kubernetes

Le processus de déploiement IAST pour Kubernetes a été considérablement amélioré, pour un contrôle et une résilience accrus :

  • Prise en charge de Helm : Introduction d'une autre méthode d'installation à l'aide des graphiques Helm.
  • Filtrage granulaire : Amélioration de la gestion du filtrage de l'espace de noms, et nouvelle possibilité d'ignorer des pods individuels pour l'installation d'IAST simplement en ajoutant l'étiquette skip-iast-webhook="true".
  • Contrôles des ressources : Des limites ont été ajoutées à l'allocation de mémoire et d'UC du conteneur IAST.
  • Résilience : Les pods ne sont plus affectés lorsque le serveur webhook IAST n'est pas disponible.
  • Synchronisation automatique des mutations : Le serveur webhook synchronise désormais automatiquement MutatingWebhookConfiguration lors des déploiements et des mises à niveau Helm avec la configuration d'espace de noms mise à jour.

Global/tous les agents

  • Clé IAST uniquement : Une nouvelle option est disponible pour créer rapidement une session IAST sans avoir à télécharger un nouvel agent. Cette mise à jour simplifie le processus d'installation, en particulier pour les utilisateurs qui intègrent à des environnements tels que l'extension de site IAST .NET Core pour Azure App Services, ou lorsqu'ils utilisent un agent existant. Cette option est disponible pour tous les agents IAST dans différentes langages.

Agent Node.js

  • Environnements isolés : Une nouvelle option est désormais disponible pour télécharger l'agent Node en tant que fichier compressé autonome directement depuis AppScan 360°. Cette option est idéale pour les environnements à accès restreint sans accès au registre npm public.
  • Création simplifiée : Les clients peuvent désormais créer l'agent Node à l'aide de l'une des options suivantes :
    • Node.js (agent de npm) : Récupère l'agent à partir du registre npm public en utilisant la clé obtenue auprès d'AppScan 360°. (Il s'agit de la méthode existante, désormais renommée.)
    • Node.js (agent de téléchargement) : Télécharge l'agent Node depuis AppScan 360° sous forme de fichier compressé autonome, ce qui permet l'installation sans accès à npm.

Agent .NET

  • Prise en charge de proxy : Prend désormais en charge la communication avec AppScan 360° via un proxy.
  • Microservices : Ajout de la prise en charge de l'analyseur IAST pour les microservices.
  • Personnaliser la consignation : Le nom et le chemin du fichier journal pour IAST peuvent désormais être configurés via la variable d'environnement secagent.log.

Agent PHP

  • Inclut des améliorations des performances générales et des correctifs de bogues.

Avis sur l'obsolescence

  • Le rapport OWASP Top 10 2017 sera obsolète à compter de la version 2.2.

Nouveautés de HCL AppScan 360° version 2.0.1

Décembre 2025

InstallationAuthentification

  • Prise en charge d'Entra ID (Azure AD) pour SSO : HCL AppScan 360° prend désormais entièrement en charge Microsoft Entra ID pour une intégration à authentification unique (SSO) transparente, améliorant ainsi la sécurité et offrant une expérience d'authentification plus fluide.

Améliorations de la stabilité et des performances
  • Cette version inclut plusieurs correctifs bogues et améliorations visant à améliorer la stabilité et la fiabilité globales du système.

Nouveautés de HCL AppScan 360° version 2.0.0

Septembre 2025

Important : Reportez-vous aux étapes supplémentaires importantes relatives à la mise à niveau avant de procéder à la mise à niveau vers AppScan 360° 2.0.0.

Software Composition Analysis (SCA)

AppScan 360° inclut désormais Analyse de la composition logicielle (SCA) pour examiner les composants Open Source et tiers utilisés dans vos applications. SCA identifie les vulnérabilités connues, les licences, mappe les dépendances entre le code et les gestionnaires de packages, et génère des nomenclatures logicielles (SGBOM) pour assurer la conformité et la sécurité de la chaîne d'approvisionnement. Désormais intégrée à AppScan 360°, elle offre aux entreprises une visibilité et un contrôle complets sur leur composition logicielle, ce qui permet une distribution plus rapide, plus sûre et plus conforme des logiciels.

Surveillance interactive (IAST)

En déployant un agent léger au sein de votre application, IAST surveille en permanence le comportement d'exécution pour détecter avec une grande précision les vulnérabilités de sécurité. Contrairement aux scanners traditionnels, il observe passivement les interactions réelles (légitimes ou malveillantes) pour détecter les problèmes au fur et à mesure qu'ils surviennent.

Grâce à une visibilité approfondie des éléments internes des applications, tels que l'exécution du code, le flux de données et les piles d'appels, IAST fournit des résultats plus rapides, moins de faux positifs et des conseils de résolution précis. Il s'intègre de manière transparente aux flux de travaux QA, Dev et CI/CD, prenant en charge la surveillance continue pendant l'exécution de l'application.

Désormais disponible dans le cadre de AppScan 360°, IAST permet aux entreprises de détecter les vulnérabilités plus tôt, de valider les correctifs en toute confiance et de renforcer la sécurité des applications sans ralentir le développement.

Améliorations de l'installation

  • Programme d'installation d'une machine virtuelle unique : Les nouveaux modes Rapide et Personnalisé simplifient les déploiements.

  • Installation répartie : La nouvelle validation des prérequis garantit que votre environnement est prêt avant un déploiement complet.

  • Installation basée sur Helm :
    • Prise en charge des espaces de noms unifiés : Déployez tous les composants dans un espace de noms unique et défini par l'utilisateur (via -n) pour simplifier le contrôle, la surveillance et le nettoyage des accès basés sur les rôles.
    • Épinglage de version avec balises : Installez des versions avec balises spécifiques pour des déploiements contrôlés et reproductibles et des restaurations plus faciles.
    • Chemin d'archivage manuel : Option d'installation sans Git pour les environnements restreints ou isolés.
Mises à jour de l'authentification

  • Authentification unique (SSO) : HCL AppScan 360° prend désormais en charge l'authentification basée sur OIDC, vérifiée avec Okta et Keycloak.

  • LDAP Domino ; La nouvelle prise en charge des serveurs Domino LDAP offre des options d'authentification d'entreprise supplémentaires.

  • Interface utilisateur pour l'authentification : Page dédiée à la configuration et à la gestion des connexions SSO et LDAP directement à partir de la plateforme HCL AppScan 360°.
Mises à jour de la plateforme
  • Corrélation : AppScan 360° analyse les problèmes détectés par IAST, DAST et SAST, afin d'identifier les liens faibles communs dans le code (corrélations) où plusieurs vulnérabilités peuvent être résolues moyennant un effort de résolution unique ou consolidé. Cette approche basée sur la corrélation rationalise la gestion des vulnérabilités en concentrant les efforts de résolution là où ils auront le plus d'impact, ce qui permet d'économiser du temps et des ressources.
  • Mises à jour de personnalisation des rapports : Définissez un titre personnalisé pour vos rapports à l'aide de la mise en page du rapport, et personnalisez vos rapports avec votre identité de marque en ajoutant le logo de votre entreprise et en créant des en-têtes et des pieds de page personnalisés.
  • Rapports et stratégies de conformité :
    • Rapports de conformité mis à jour :
      • [US] DISA's Application Security and Development STIG V6R3
      • Rapport CWE : Les 25 vulnérabilités logicielles les plus dangereuses en 2024
  • Champs d'application personnalisés : rationalisez la gestion des applications dans AppScan 360° avec les champs d'application personnalisés. Cette nouvelle fonctionnalité offre une plus grande flexibilité dans la façon dont vous catégorisez, filtrez et analysez les données d'application. Que vous gériez les risques, suiviez la progression de la sécurité ou organisiez des inventaires volumineux, les champs personnalisés offrent une vue plus granulaire et adaptée pour faciliter vos flux de travaux et votre prise de décision. Pour en savoir plus sur la configuration et l'utilisation des champs personnalisés, reportez-vous aux Champs d'application personnalisés.
  • Nouvelle conception de la page d'abonnement : la page d'abonnement a été repensée pour améliorer l'expérience utilisateur.
  • Tableaux :
    • Sélection des colonnes : la sélection des colonnes est organisée par catégorie pour améliorer la convivialité.
    • Copier à partir de la grille : cliquez avec le bouton droit de la souris sur n'importe quelle cellule du tableau pour copier facilement son contenu.
Mises à jour de l'analyse dynamique (DAST)
  • AppScan for Dev - vérificateur de l'absence de problèmes DAST : Permet aux développeurs de simuler les vulnérabilités DAST identifiées par AppScan directement dans l'IDE ou le navigateur. Les développeurs peuvent exécuter un script généré par AppScan pour répliquer le problème, le déboguer et valider le correctif, le tout sans avoir besoin d'un nouvel examen et avant d'archiver le code.
  • DAST IFA (Intelligent Findings Analytics) : Les améliorations basées sur l'IA fournissent des résultats de test plus précis avec moins de faux positifs en tirant parti d'Azure OpenAI, ce qui améliore la fiabilité des examens et la confiance des développeurs.
  • Améliorations de la connexion automatique : La précision accrue des connexions automatiques augmente les authentifications réussies et réduit le besoin d'enregistrements de connexion manuels, ce qui améliore l'efficacité des examens et réduit le temps de configuration.
  • Prise en charge de WebSocket : prise en charge du protocole WebSocket qui utilise des messages JSON ou XML pour l'échange de données.
  • Plusieurs domaines d'un fichier de trafic : lors du chargement d'un fichier de trafic avec plusieurs domaines, HCL AppScan 360° ajoute automatiquement ces domaines à la liste « Domaines à tester » et marque ceux qui sont vérifiés pour les inclure dans l'examen.
  • Télécharger le fichier d'examen pour les examens ayant échoué : vous pouvez désormais télécharger le fichier d'examen même si l'examen échoue pour un dépannage plus poussé dans AppScan Standard. Le fichier ne peut être téléchargé que si l'examen a commencé à s'exécuter.
  • Mise à jour du moteur : la version du moteur DAST est mise à jour vers la version 10.9.1.
Mises à jour de l'analyse statique (SAST)
  • Mise à jour du client d'analyse statique vers la version 8.0.1646.
  • Mises à jour des règles.
  • Amélioration des performances IRGen lors de la découverte Git.
  • Le balayage des secrets est désormais correctement activé à l'aide du paramètre Organisation.
  • AppScan Go! mis à jour vers la version 2.3.0.
    Remarque : Les utilisateurs effectuant une mise à niveau à partir de versions précédentes de AppScan 360° doivent mettre à jour manuellement AppScan Go! vers la version 2.3.0.
Mises à jour du plug-in

  • AppScan 360° peut désormais envoyer les résultats d'examen directement à Centraleyzer, ce qui permet une gestion unifiée des résultats de sécurité sur l'ensemble des outils.

  • Les plug-ins AppScan 360° prennent désormais en charge les examens SCA.

Nouveautés de HCL AppScan 360° version 1.6.1

Mai 2025

Installation et mise à jour des licences

  • Le portail My HCLSoftware (MHS) a remplacé le portail FlexNet Operations (FNO) pour la gestion des licences. FNO n'est plus pris en charge depuis le 30 juin 2025.

    • AppScan 360° 1.6.0 et versions antérieures ne sera plus disponible après le 30 juin 2025.
    • La version non FIPS 1.6.1 d'AppScan 360° est disponible au téléchargement à partir du portail My HCLSoftware (MHS) uniquement.
    • La version compatible FIPS 1.6.1 d'AppScan 360° est disponible sur Four, Inc.
  • Tous les droits ont été migrés vers MHS. Configurez et téléchargez votre licence depuis MHS avant de procéder à la mise à niveau vers la version 1.6.1 d'AppScan 360°.
    • Les installations antérieures d'AppScan 360° continueront de fonctionner en l'état jusqu'à la mise à niveau.
    • Seule la plateforme de gestion des licences est modifiée ; les métriques de licence ne sont pas modifiées et aucun frais supplémentaire n'est facturé pour vos licences migrées vers MHS.
    Pour en savoir plus sur les licences à l'aide de MHS, voir Gestion des déploiements dans My HCLSoftware.

Nouveautés de HCL AppScan 360° version 1.6.0

Avril 2025

Mises à jour de la conformité aux normes fédérales

  • La version 1.6.0 de AppScan 360° est conforme à la norme FIPS 140-3.

  • Les clients qui utilisent le téléchargement conforme à la norme 140-3 de AppScan 360° la version 1.6.0 doivent disposer d'une licence Ubuntu Pro.
    Remarque : Le téléchargement de AppScan 360° version 1.6.0 conforme à la norme FIPS 140-3 est disponible exclusivement sur Four.
  • Mise à jour d'Application Security and Developmet STIG vers la version V6R1.

  • Prise en charge Ipv6 et interopérabilité IPv6 et IPv4.

    Pour des détails de conformité supplémentaires, voir Conformité avec la législation en vigueur aux Etats-Unis.

Installation et mise à jour des licences

  • À partir de la version 1.6.0, téléchargez- AppScan 360° via le portail My HCLSoftware uniquement.

  • Le portail My HCLSoftware (MHS) a remplacé le portaill FlexNet Operations (FNO) pour la gestion des licences. FNO n'est plus prise en charge.

  • Tous les droits ont été migrés vers MHS. Configurez et téléchargez votre licence depuis MHS avant de procéder à la mise à niveau vers la version 1.6.0 de AppScan 360°.

    Remarque : seule la plateforme de gestion des licences est modifiée ; les métriques de licence ne sont pas modifiées et aucun frais supplémentaire n'est facturé pour vos licences migrées vers MHS.

    Pour plus d'informations sur les licences à l'aide de MHS, voir Gestion des déploiements AppScan 360°dans My HCLSoftware.

Mises à jour de la plateforme AppScan 360°

  • Tableau de bord : Filtrez le tableau de bord par application pour vous concentrer plus facilement sur des domaines d'intérêt spécifiques.

  • Mode sombre : Basculez entre les thèmes clairs et sombres pour une expérience visuelle plus confortable.

  • Création de l'application : Définissez automatiquement l'impact commercial par défaut sur « Moyen » dans la configuration rapide de l'application pour une intégration plus rapide.

  • Gestion des problèmes : Modifiez la gravité ou l'état d'un problème dans la vue Détails.

  • Génération de rapport : Une nouvelle colonne « Problèmes critiques » a été ajoutée aux rapports de sécurité au format CSV. Mettez à jour les scripts d'automatisation pour reconnaître cette nouvelle colonne.

  • Rapports et stratégies de conformité :
    • Nouveau rapport Digital Operational Resilience Act (DORA) [UE].
    • Nouveau rapport Application Security Verification Standard (ASVS) OWASP.
    • Rapport mis à jour du guide d'implémentation technique de sécurité de développement et de sécurité d'application (STIG) du DISA (V6R1) [Etats-Unis].
Mises à jour de DAST (analyse dynamique)

  • Stratégie de test prédéfinie : Choisissez une règle prédéfinie pour exécuter uniquement les tests les plus pertinents, ce qui vous aidera à concentrer les tests et à réduire la durée de l'examen

  • Configuration des exclusions/exceptions : Ciblez les examens en excluant des chemins d'application spécifiques pour accélérer les examens et en ajoutant des règles d'exception (includes) pour tous les chemins devant rester dans le champ d'application.

  • Tester à nouveau et continuer les tests : Si vous téléchargez un fichier d'examen, vous pouvez désormais tester à nouveau ou continuer les tests plus facilement, grâce à des options de téléchargement plus claires.

  • Test API

    • Flux de travaux d'examen d'API natif : Sécurisez vos API en les analysant dès le début du processus de développement. Téléchargez les collectes Postman ou le trafic enregistré manuellement pour détecter les vulnérabilités avant leur publication.

      Prise en charge de la spécification OpenAPI :AppScan 360° peut désormais lire automatiquement un fichier de spécification OpenAPI, ce qui améliore les options de configuration et la couverture pour les tests de sécurité des API.

  • Détection des composants tiers vulnérables : DAST utilise désormais des contrôles côté client et serveur pour identifier les technologies couramment utilisées et signaler les vulnérabilités connues, ce qui vous aide à résoudre rapidement les problèmes critiques.

  • Améliorations de l'importation de fichiers :
    • Exploration avec guide : Importez les fichiers EXD générés par AppScan Standard ou le AppScan Dynamic Analysis Client (ADAC) pour rationaliser la configuration de l'enregistrement du trafic.
    • Importation du fichier de numérisation (API uniquement) : Importez les fichiers d'examen existants (y compris les résultats) dans AppScan 360° sans exécuter l'examen.
Mises à jour de SAST (analyse statique)

  • Conteneur d'agent SAST mis à jour vers la version 8.0.25004.

  • Prise en charge de .NET 9.

Nouveautés de HCL AppScan 360° version 1.5.1

Février 2025
  • HCL AppScan 360° Installation hors ligne d'une machine virtuelle unique
  • Déployez en toute transparence AppScan 360° sur site sur VMware Tanzu et Red Hat OpenShift.

Nouveautés de HCL AppScan 360° version 1.5.0

Janvier 2025

  • HCL AppScan 360° peut désormais être installé à l'aide de Helm.
    • Installation simple avec une seule commande Helm.
    • Configuration allégée à l'aide d'images Docker provenant du registre de conteneurs HCL Harbor.
    • Optimisé pour les infrastructures basées sur Kubernetes.
  • Mises à jour de AppScan 360° SAST :
    • Mise à jour du client d'analyse statique vers la version 8.0.1604.
    • Prise en charge de HTML.
    • Prise en charge supplémentaire du balayage Python Django.
    • Mises à jour du balayage des secrets.
    • Ajout d'une nouvelle commande CLI pour récupérer les journaux.
    • Mises à jour des règles d'examen.
    • AppScan Go! mis à jour vers la version 2.2.0.
      • Les noms d'examen autorisent l'utilisation de caractères spéciaux.
      • Le préfixe static_ n'est plus inclus automatiquement dans le nom de l'examen.
      • Balayage des secrets par examen activé par défaut.
      • Améliorations de l'interface utilisateur.
      • Correctifs d'erreurs d'ordre général.

Nouveautés de HCL AppScan 360° version 1.4.0

Octobre 2024

  • HCL AppScan 360° Installation d'une machine virtuelle unique

    Vous pouvez choisir d'installer AppScan 360° dans un environnement Kubernetes distribué (installation standard) ou sur une machine virtuelle unique. L'installation sur une seule machine virtuelle offre un déploiement autonome de AppScan 360°, y compris la configuration de Kubernetes, pour les environnements plus petits lorsqu'un accès simultané élevé n'est pas nécessaire, ou dans le cadre de la planification des installations distribuées suivantes.

  • Tableau de bord repensé : obtenez des informations plus détaillées sur vos applications et les problèmes identifiés grâce au nouveau tableau de bord. Visualisez des analyses en temps réel grâce à des diagrammes et des graphiques simples d'utilisation pour surveiller les métriques clés.
  • Gestion de domaines pour le balayage DAST : gérez les domaines autorisés pour le balayage au sein de votre organisation et de vos groupes d'actifs.
  • Correction automatique : une sélection de recommandations de correction automatique est désormais fournie avec une explication résumée par l'IA générative dans l'interface utilisateur de HCL AppScan 360°.
  • Intégration GitHub Enterprise pour le balayage de référentiel SAST : exécutez des examens d'analyses statiques sur les référentiels GitHub Enterprise.
  • Mises à jour de Plateforme centrale AppScan supplémentaires :
    • Politiques et rapports nouveaux ou mis à jour sur la conformité et les normes de l'industrie :
      • Directive relative à la sécurité des réseaux et des informations (NIS2)
      • Rapport OWASP Top 10 de la sécurité des applications natives dans le cloud
      • Rapport OWASP API Security Top 10 2023
      • Rapport CWE : les 25 vulnérabilités logicielles les plus dangereuses en 2023
      • [US] DISA's Application Security and Development STIG, Version 5 Release 3
      • PCI DSS (Payment Card Industry Data Security Standard), Version 4
    • Propagation automatique des commentaires : propage automatiquement les derniers commentaires relatifs à un problème et le statut de celui-ci depuis une autre application vers l'application actuelle. Cela garantit que le statut et les commentaires sont mis à jour de manière cohérente, fournissant ainsi un enregistrement complet et synchronisé sur le problème dans toutes les applications.
    • Lien vers le référentiel dans l'onglet Détails du problème : le champ « Emplacement » de l'onglet Détails du problème inclut un lien vers le fichier et la ligne spécifiés dans le référentiel de code source, le cas échéant. Cela permet d'accéder directement au code pertinent sans changer d'onglet.
  • Mises à jour de AppScan 360° SAST :
    • Mise à jour du client d'analyse statique vers la version 8.0.1577.
    • Mise à jour d'AppScan Go! vers la version 2.1.1.
      • Ajout de la possibilité d'examiner les référentiels SCM dans AppScan Go! avec une URL.
      • AppScan Go! recommande désormais automatiquement le mode d'examen, soit bytecode/compiled, soit code source.
    • Les analyses SAST peuvent désormais être configurées et programmées pour extraire le code source directement à partir d'un référentiel GitHub public. Voir Examiner un référentiel GitHub.
    • Tout en triant les résultats SAST, les utilisateurs peuvent afficher le code source correspondant directement sur GitHub.com.
    • Les résultats peuvent désormais être filtrés par nom de fichier ou par chemin, ce qui rend le tri plus efficace en se concentrant sur des zones spécifiques de la base de code.
    • La commande CLI queue_analysis affiche les ID d'examen pour l'analyse statique (SAST).
    • IFA 2.0 activé pour les résultats de trace .NET.
    • Améliorations apportées à l'examen de secrets et à l'examen de code source Java.
    • Le balayage des secrets examine les fichiers PowerShell (.ps1).
    • Mises à jour des règles.
    • Prise en charge de Makefile/GNUMakefile, d'eSQL et de Java 21.

      En outre, Java 21 est inclus dans le package Static Analyzer Command Line Utility (SAClientUtil).

  • Mises à jour de AppScan 360° DAST :
    • Journaux en temps réel pour les examens DAST : consultez les mises à jour des journaux en temps réel pendant les examens actifs.
    • Mode support étendu : activez le mode de support étendu (ESM) pour les examens DAST afin de générer des journaux détaillés à des fins de support.
    • Le moteur DAST est mis à jour vers la version 10.7.0.40885
  • Nouveaux HCL AppScan 360° plug-ins :
    • Plug-in IDE JetBrains
    • Intégrations Jira, Azure DevOps et RTC DTS
    • Intégration de la gestion des vulnérabilités ServiceNow
    • Intégration personnalisée SDK AppScan

    Pour plus de détails, voir Intégrations.

Nouveautés de HCL AppScan 360° version 1.3.0

Juin 2024

  • HCL AppScan 360° augmente considérablement la couverture de sécurité grâce à l'ajout du balayage d'analyse dynamique (DAST). Voir Dynamic Analysis (DAST).

    Notre technologie DAST leader sur le marché permet aux entreprises d'examiner les applications et les API en cours d'exécution pour détecter les vulnérabilités avant leur déploiement sur le Web. Le balayage incrémentiel et l'optimisation des tests permettent aux entreprises d'équilibrer la vitesse et la profondeur des analyses en fonction des besoins du cycle de développement.

  • Mises à jour de Plateforme centrale AppScan :
    • Un filtre de date a été ajouté à la page Groupes de correctifs. Affichez les groupes de correctifs en fonction d'une plage de dates et/ou de propriétés temporelles associées aux problèmes des composants.
    • Une option de partage a été ajoutée au volet des détails du problème. Copiez un lien ou un identifiant de problème pour partager rapidement et efficacement les détails du problème par SMS ou par e-mail.
  • Améliorations de l'expérience utilisateur :
    • La page Paramètres a été réorganisée et requiert désormais la confirmation des modifications apportées aux paramètres de la page.
  • Les plug-ins AppScan suivants prennent en charge la version 1.3 de AppScan 360° :

Nouveautés de HCL AppScan 360° version 1.2.0

Avril 2024

HCL AppScan 360° Mises à jour de l'installation :
  • AppScan 360° a une nouvelle procédure d'installation simplifiée. L'installation de Plateforme centrale AppScan comprend l'installation de l'agent d'analyse statique en une seule procédure. Conseils de résolution AppScan sont installés séparément afin que vous ayez toujours le contenu le plus à jour en lien avec les causes, les risques et les mesures de résolution.
Mises à jour de Plateforme centrale AppScan :
  • Vue des problèmes par défaut : par défaut, AppScan 360° affiche les problèmes non conformes uniquement au niveau de l'application.
  • Filtrage des groupes de correctifs : AppScan 360° prend en charge le filtrage des groupes de correctifs par vulnérabilité et stratégie, en plus des filtres existants. Grâce à des fonctionnalités de filtrage supplémentaires, vous pouvez identifier les problèmes et optimiser les correctifs pour une résolution plus rapide.
  • Onglet Propriétés du problème : l'onglet Propriétés du volet Détails du problème répertorie les détails étendus du problème, y compris comment et quand le problème a été détecté, le type, le statut, la gravité, l'examen et l'emplacement, ainsi que l'identifiant du problème.
  • Fermeture automatique des problèmes : AppScan 360° ferme automatiquement les problèmes lorsqu'ils n'apparaissent pas dans les nouvelles numérisations, ce qui réduit le travail manuel de résolution des problèmes.
  • Limite d'examens de 2 000 : lorsque le nettoyage automatique n'est pas activé au niveau de l'organisation, AppScan 360° applique la limite d'examen de 2 000.

  • Améliorations de l'expérience utilisateur :

    • Groupes de fichiers métadonnées : le nouveau flux de suppression de groupe d'actifs simplifie le processus de suppression d'un groupe d'actifs. Les utilisateurs disposant de l'autorisation de supprimer un groupe d'actifs (rôles par défaut tels qu'Administrateur et Gestionnaire, ainsi que rôles personnalisés) peuvent supprimer un groupe d'actifs ainsi que ses applications associées, y compris les examens et les résultats, ce qui facilite la suppression des applications inutiles. Les utilisateurs peuvent également choisir de déplacer les applications vers un autre groupe d'actifs, avec ou sans leurs membres.
    • Groupes de PTF : champ Commentaires ajouté au rapport de sécurité pour les groupes de correctifs, permettant une meilleure inclusion et un meilleur suivi des notes et des commentaires.
  • Mise à jour du balayage de Analyse statique AppScan 360° :
    • Les principales améliorations apportées à l'analyse de résultats intelligente (IFA) pour Java, notre technologie de triage automatique IA/ML, incluent des résultats plus précis et une réduction des faux positifs. Les utilisateurs peuvent remarquer des résultats supplémentaires dans le code précédemment examiné en raison de l'amélioration de l'analyse et de la hiérarchisation.
    • Découverte automatique des référentiels Git. Les chemins de fichier des nouveaux problèmes sont relatifs à la racine du référentiel.
    • Couverture accrue pour le langage RPG.
    • AppScan Go! mis à jour vers la version 2.0.0

      AppScan Go! vous guide tout au long de la configuration et de l'exécution d'une analyse statique ou des secrets avec une interface utilisateur actualisée et un flux de travail affiné. Vous pouvez exécuter un examen complet, préparer un fichier IRX pour un balayage ultérieur ou configurer des fichiers pour l'automatisation des examens avec les plug-ins AppScan. Vous pouvez également afficher les informations de compte dans l'outil.

    • Prise en charge de l'analyse statique pour .NET 8.
    • Précision améliorée pour les langages Java, JavaScript et Python.

Nouveautés de HCL AppScan 360° version 1.1.0

Décembre 2023

Mises à jour de Plateforme centrale AppScan :
  • La Vue d'examen unique inclut désormais l'option d'affichage des problèmes actifs, en plus du nombre total de problèmes et des nouveaux problèmes. Les problèmes actifs sont ceux qui ont le statut « Nouveau », « Ouvert », « En cours » ou « Réouvert ». En outre, des améliorations ont été apportées au graphique « Problèmes par gravité ».
Installation et mises à jour de l'administration de Analyse statique AppScan 360° :
  • Script de déploiement amélioré :
    • Déploiement dans n’importe quel environnement Kubernetes.
    • Accepte la partie nom d'hôte du serveur Plateforme centrale AppScan (FQDN) de l'option '--server'.
    • Le nom de la classe de stockage (--storage-class) doit être fourni pendant le déploiement.
    • Le nom d'hôte d'entrée par défaut de Analyse statique AppScan 360° pour l'option '--ingress-host' passe de 'sast.appscan.com' à 'sast.example.com'.
  • Introduction de sondes pour surveiller l'intégrité des composants Analyse statique AppScan 360°.
  • API de gestion améliorée pour produire des détails supplémentaires sur chaque microservice, des informations sur la version et sa disponibilité avec des sondes de disponibilité.
  • Mise à jour de la configuration prête à l'emploi sur la base de l'utilisation typique des ressources.
  • Images de base mises à jour.
  • Divers correctifs pour améliorer l'intégration de l'API à Plateforme centrale AppScan, la facilité de maintenance et les performances.
Mise à jour du balayage de Analyse statique AppScan 360° :
  • Mise à jour du client d'analyse statique vers la version 8.0.1546.
  • Prise en charge du balayage des feuilles de style en cascade (fichiers CSS) : AppScan 360° identifie les vulnérabilités de sécurité dans les feuilles de style en cascade, y compris les vulnérabilités liées aux scripts intersites, aux injections et à la validation.
  • Prise en charge d'IBM WebSphere Application Server 9.x : L'Utilitaire de ligne de commande Static Analyzer peut être configuré pour exploiter un environnement WebSphere afin d'utiliser le compilateur JSP inclus avec WebSphere.
  • Précision améliorée pour le balayage PHP : AppScan 360° a amélioré la vérification du contenu PHP dans les fichiers HTML.
  • Prise en charge de l'examen des secrets : La recherche de secrets via un examen est désactivée par défaut. Utilisez les options --enableSecrets et --secretsOnly pour examiner les secrets.
  • Amélioration des performances des scanners de code source.
  • La ligne de commande et les plug-ins permettent désormais le chargement de fichiers d'archive pour examen sans générer au préalable un fichier IRX.
  • Correctifs d'ordre général.
Problèmes résolus dans HCL AppScan 360° version 1.1.0
  • PRB0123164 - L'onglet Groupes de correction affiche le nom du fichier au lieu du nom de la bibliothèque pour le composant Open Source.
  • PRB0123969 - L'examen SAST affiche un numéro de ligne vide lorsque la colonne « Ligne » est ajoutée au tableau de bord.
  • PRB0123727 - Plusieurs problèmes CSV signalés par les clients.