Recherche de secrets via un examen d'analyse statique

Lorsque cette option est activée, AppScan on Cloud examine le code source et les fichiers de configuration à la recherche de secrets : informations sensibles (notamment noms d'utilisateur, mots de passe, jetons d'authentification, numéros de carte de crédit, numéros de sécurité sociale) et autres éléments de plateformes et de fournisseurs spécifiques énumérés ci-dessous.

Le balayage des secrets est activé et désactivé au niveau de l'organisation. Cependant, les examens individuels peuvent remplacer le paramètre de niveau organisationnel à l'aide des options appscan prepare ou appscan.sh prepare liées aux secrets :

Lorsque les secrets sont activés au niveau de l'organisation :
- Utilisez -ds, --disableSecrets avec appscan prepare ou appscan.sh prepare pour désactiver le balayage des secrets.
- Utilisez -so, -secretsOnly avec appscan prepare ou appscan.sh prepare pour rechercher des secrets uniquement lors de l'exécution d'un examen de code source uniquement.
Lorsque les secrets sont désactivés au niveau de l'organisation :
- Utilisez -es, --enableSecrets ou -so, --secretsOnly avec appscan prepare ou appscan.sh prepare pour activer le balayage des secrets.
- Utilisez -so, -secretsOnly avec appscan prepare ou appscan.sh prepare pour rechercher des secrets uniquement lors de l'exécution d'un examen de code source uniquement.

AppScan on Cloud prend en charge la recherche de secrets via un examen pour les plateformes et fournisseurs suivants :


Fournisseur/plateforme	Secret
Alibaba Cloud	`alibaba_cloud_access_key_id`
Alibaba Cloud	`alibaba_cloud_access_key_secret`
AWS	`aws_access_key_id`
AWS	`aws_secret_access_key`
AWS	`aws_session_token`
Atlassian	`atlassian_api_token`
Atlassian	`atlassian_jwt`
Azure	`azure_cosmosdb_key_identifiable`
Azure	Chaîne de connexion Azure CosmosDB
Azure	`azure_devops_personal_access_token`
Azure	`azure_sas_token`
Azure	`azure_search_admin/query_key`
Azure	`azure_sql_connection_string`
Azure	`azure_storage_account_key`
Azure	Chaîne de connexion du compte de stockage Azure
Databricks	`databricks_access_token`
GitHub	`github_oauth_access_toke`n
GitHub	`github_personal_access_token`
GitHub	`github_refresh_token`
Google Cloud	`google_api_key`
Google Cloud	`google_cloud_private_key_id`
Hashicorp	Jetons `HashiCorpVault` codés en dur
Hasicorp	Formations d'authentification AppRole (`RoleID` et `SecretID`)
Ouvrir une AI	`openai_api_key`
Stripe	`stripe_live_restricted_key`
Stripe	`stripe_live_secret_key`
Stripe	`stripe_test_restricted_key`
Stripe	`stripe_test_secret_key`
mongodb	Authentification API
mongodb	URL de connexion
Jenkins	Mot de passe/phrase de passe Jenkins

Remarque :

Pour rechercher des secrets lors de l'analyse de Java ou .NET, vous devez appliquer l'option sourceCodeOnly. ASoC ne recherche pas de secrets par rapport au bytecode Java (fichiers .jar.war.ear.class) ou aux assemblages .NET (fichiers .dll/.exe)