Runtime SCA (Software Composition Analysis)

Identifiez et gérez les vulnérabilités dans les composants et bibliothèques Open Source utilisés par une application au moment de l'exécution.

La SCA traditionnelle identifie les dépendances vis-à-vis de tiers pendant le processus de création, ce qui peut conduire à un nombre excessif de résultats. Runtime SCA affine ces données en surveillant les applications pendant l'exécution afin d'identifier les bibliothèques chargées activement. En faisant la distinction entre le code référencé et le code utilisé, vous pouvez concentrer les efforts de correction sur les composants qui présentent un risque réel.

Principaux avantages

  • Précision opérationnelle : Faites la distinction entre les dépendances inactives et les bibliothèques actives à haut risque.
  • Hiérarchisation des risques : Approfondissez les informations contextuelles sur les vulnérabilités afin d'alléger votre backlog de corrections.
  • Connaissances sur la production : Utilisez IAST_SCA_PROD pour surveiller les environnements de production avec une surcharge minimale en désactivant les tests de sécurité complets au profit de la détection de bibliothèque.
  • Accessibilité au niveau de la fonction : Détecte lorsqu'une fonction vulnérable associée à un CVE est réellement exécutée pendant l'exécution de l'application. Au lieu de seulement indiquer qu'un package vulnérable a été chargé en mémoire, l'accessibilité au niveau de la fonction démontre (à l'aide de preuves plus solides) que le code vulnérable lui-même a été invoqué. Ce signal approfondi aide les équipes de sécurité à hiérarchiser les vulnérabilités qui sont activement exécutées dans leur environnement.
    Remarque : A l'heure actuelle, cette fonctionnalité prend uniquement en charge Python.
  • Détection de bibliothèque d'exécution : AppScan 360° Identifie et signale désormais les CPE connus pour les bibliothèques d'exécution détectées, et détecte les bibliothèques importées ou chargées uniquement au moment de l'exécution mais qui n'apparaissent pas dans l'analyse des dépendances statiques standard. Les dépendances chargées uniquement lors de l'exécution peuvent être signalées indépendamment, ce qui offre une meilleure visibilité sur les vulnérabilités qui n'existent que pour les applications en cours d'exécution.

Flux de travaux d'implémentation

Pour exploiter Runtime SCA, vous devez déployer un agent et corréler ses résultats avec une analyse SCA standard.
  1. Déployez l'agent IAST.

    Installez l'agent IAST sur votre serveur d'applications.

  2. Configurez les variables d'environnement.
    Activez la détection d'exécution en ajoutant l'une des variables suivantes à votre fichier de configuration IAST :
    Variable Environnement Description
    IAST_RUNTIME_SCA Test/Transfert Active les fonctionnalités IAST complètes ainsi que la détection de bibliothèque d'exécution.
    IAST_SCA_PROD Production Désactive les fonctions IAST standard, laissant uniquement la détection de bibliothèque active.
  3. Testez l'application.
    L'agent doit voir l'application utilisée pour identifier les bibliothèques chargées. Pour cela, vous pouvez :
    • Exécuter des tests fonctionnels ou de régression automatisés.
    • Réaliser un examen dynamique (DAST).
    • Explorer manuellement l'application.
  4. Corrélez et examinez les résultats.

    Une fois que l'agent a surveillé l'application, exécutez une analyse SCA standard. AppScan 360° met automatiquement en corrélation les résultats de l'examen statique avec les données d'exécution de l'agent. Les bibliothèques actives confirmées sont ensuite affichées dans un groupe de corrélation afin de faciliter l'identification.