Welcome
Analyse statique
Utilisez l'analyse statique (SAST) pour rechercher les vulnérabilités de sécurité dans les applications Web et dans les applications de bureau. L'analyse statique inclut les technologies IFA (analyse de résultats intelligente) et ICA (analyse de code intelligente).
Configuration requise par le système pour l'analyse statique
Systèmes d'exploitation compatibles, ainsi que les types de fichiers, les emplacements et les projets que AppScan 360° est capable d'examiner lorsque vous réalisez une analyse statique.
Prise en charge des langages de l'analyse statique
Les types de fichiers qu'AppScan 360° est capable d'examiner lorsque vous réalisez une analyse statique.
Recherche de secrets via un examen d'analyse statique
Lorsque cette option est activée, AppScan 360° examine le code source et les fichiers de configuration à la recherche de secrets : informations sensibles (notamment noms d'utilisateur, mots de passe, jetons d'authentification, numéros de carte de crédit, numéros de sécurité sociale) et autres éléments de plateformes et de fournisseurs spécifiques énumérés ci-dessous.

Initiation
Bienvenue dans la documentation HCL AppScan 360°, dans laquelle vous trouverez des informations sur l'installation, l'entretien et l'utilisation de ce service.
Installation
En savoir plus sur l'architecture AppScan 360° et sur l'installation du produit.
Navigation
Cette section décrit la navigation dans AppScan 360° (notamment les éléments de la barre de menus latérale et les barres de navigation supérieures) et fournit des liens vers des informations plus détaillées.
Gestion
Définissez les utilisateurs, les rôles, les groupes, les applications et les stratégies, et configurez les intégrations DevOps.
Analyse dynamique
HCL AppScan 360° effectue des examens de sécurité d'applications Web pour les environnements de production, de transfert et de développement.
Surveillance interactive
A l'aide d'un agent installé sur votre application, AppScan 360° identifie les vulnérabilités de sécurité de votre application lors de l'exécution, en surveillant toutes les interactions, qu'elles soient légitimes ou malveillantes. Il s'agit d'un processus « passif » en ce sens qu'ISAT n'envoie pas ses propres tests et peut donc s'exécuter indéfiniment.
Analyse de la composition du logiciel
Utilisez l'analyse de la composition du logiciel (SCA) pour localiser les vulnérabilités de sécurité dans les packages Open Source et tiers utilisés par votre code.
Analyse statique
Utilisez l'analyse statique (SAST) pour rechercher les vulnérabilités de sécurité dans les applications Web et dans les applications de bureau. L'analyse statique inclut les technologies IFA (analyse de résultats intelligente) et ICA (analyse de code intelligente).
- Configuration requise par le système pour l'analyse statique
  Systèmes d'exploitation compatibles, ainsi que les types de fichiers, les emplacements et les projets que AppScan 360° est capable d'examiner lorsque vous réalisez une analyse statique.
  - Prise en charge des langages de l'analyse statique
    Les types de fichiers qu'AppScan 360° est capable d'examiner lorsque vous réalisez une analyse statique.
    - Recherche de secrets via un examen d'analyse statique
      Lorsque cette option est activée, AppScan 360° examine le code source et les fichiers de configuration à la recherche de secrets : informations sensibles (notamment noms d'utilisateur, mots de passe, jetons d'authentification, numéros de carte de crédit, numéros de sécurité sociale) et autres éléments de plateformes et de fournisseurs spécifiques énumérés ci-dessous.
  - Prise en charge des clients de l'analyse statique
    Cette rubrique décrit les systèmes d'exploitation compatibles, ainsi que les types de projets que AppScan 360° est capable d'examiner lorsque vous réalisez une analyse statique.
  - Mises à jour des règles
  - Conformité avec la législation en vigueur aux Etats-Unis
    La conformité avec la législation en vigueur aux Etats-Unis sur la technologie de l'information et la sécurité contribue à éliminer les entraves et les obstacles d'ordre commercial. Elle prouve également aux clients du monde entier que HCL fait le maximum pour créer les produits les plus sûrs du marché. L'Utilitaire de ligne de commande Static Analyzer prend en charge les normes et les directives mentionnées dans cette rubrique. Pour en savoir plus sur la configuration de l'utilitaire de conformité, contactez votre représentant de support HCL.
- Balayage des vulnérabilités de sécurité
  Pour examiner le code source et détecter les éventuelles vulnérabilités de sécurité, suivez la procédure indiquée dans ces rubriques.
- Traitement des incidents de l'analyse statique
  Si vous rencontrez des problèmes avec l'analyse statique, vous pouvez effectuer ces tâches d'identification et de résolution des incidents afin de déterminer la mesure corrective à prendre.
Résultats
La page Examens et sessions répertorie les examens sous les catégories DAST, SAST, SCA et IAST, où vous pouvez afficher les résultats de vos examens, y compris les statistiques d'examen. Pour afficher, réexaminer ou télécharger des rapports, sélectionnez un examen.La page Examens et sessions répertorie les examens sous les catégories desquelles vous pouvez afficher les résultats de vos examens, y compris les statistiques d'examens. Pour afficher, examiner à nouveau ou télécharger des rapports, sélectionnez un examen.
AppScan 360° Assistant IA
L'assistant IA est une couche d'intelligence intégrée qui fonctionne dans l'environnement AppScan 360°. Il fournit des informations sur la sécurité, automatise le triage des problèmes et propose des conseils de correction.
Serveur Model Context Protocol (MCP) AppScan
Le serveur MCP AppScan intègre HCL AppScan 360° directement aux agents et environnements de développement basés sur l'IA. En implémentant le protocole MCP (Model Context Protocol), ce serveur permet aux LLM (tels que Claude ou les modèles s'exécutant dans le code VS) d'accéder en toute sécurité à vos données de sécurité, y compris les résultats SAST, DAST, SCA et IAST, afin de vous aider à trier les problèmes, à analyser les résultats et à automatiser les flux de travaux en langage naturel.
Référence
Quelques questions fréquentes et informations sur l'intégration d'AppScan 360° au cycle de vie du produit (SDLC).

Recherche de secrets via un examen d'analyse statique

Lorsque cette option est activée, AppScan 360° examine le code source et les fichiers de configuration à la recherche de secrets : informations sensibles (notamment noms d'utilisateur, mots de passe, jetons d'authentification, numéros de carte de crédit, numéros de sécurité sociale) et autres éléments de plateformes et de fournisseurs spécifiques énumérés ci-dessous.

AppScan 360° prend en charge la recherche de secrets via un examen pour les plateformes et fournisseurs suivants :


Fournisseur/plateforme	Secret
Alibaba Cloud	`alibaba_cloud_access_key_id`
Alibaba Cloud	`alibaba_cloud_access_key_secret`
AWS	`aws_access_key_id`
AWS	`aws_secret_access_key`
AWS	`aws_session_token`
Atlassian	`atlassian_api_token`
Atlassian	`atlassian_jwt`
Azure	`azure_cosmosdb_key_identifiable`
Azure	Chaîne de connexion Azure CosmosDB
Azure	`azure_devops_personal_access_token`
Azure	`azure_sas_token`
Azure	`azure_search_admin/query_key`
Azure	`azure_sql_connection_string`
Azure	`azure_storage_account_key`
Azure	Chaîne de connexion du compte de stockage Azure
Databricks	`databricks_access_token`
GitHub	`github_oauth_access_toke`n
GitHub	`github_personal_access_token`
GitHub	`github_refresh_token`
Google Cloud	`google_api_key`
Google Cloud	`google_cloud_private_key_id`
Hashicorp	Jetons `HashiCorpVault` codés en dur
Hasicorp	Formations d'authentification AppRole (`RoleID` et `SecretID`)
Ouvrir une AI	`openai_api_key`
Stripe	`stripe_live_restricted_key`
Stripe	`stripe_live_secret_key`
Stripe	`stripe_test_restricted_key`
Stripe	`stripe_test_secret_key`
mongodb	Authentification API
mongodb	URL de connexion
Jenkins	Mot de passe/phrase de passe Jenkins

Remarque : Pour rechercher des secrets lors de l'analyse de Java ou .NET, vous devez appliquer l'option sourceCodeOnly. AppScan 360° ne recherche pas de secrets par rapport au bytecode Java (fichiers .jar.war.ear.class) ou aux assemblages .NET (fichiers .dll/.exe)