最新情報 AppScan on Cloud

• ランタイム SCA の問題には、更新された問題タイプを使用します。
• スタックレスの問題のメソッド署名フィールドに URL を表示します。これは、AppScan on Cloud の場所フィールドに表示されます。
• RabbitMQ のサポートが向上しました。
• 新しい問題タイプを使用: PasswordLeakageDB と PasswordLeakageSentData

• ランタイム SCA の問題には、更新された問題タイプを使用します。
• スタックレスの問題のメソッド署名フィールドに URL を表示します。これは、AppScan on Cloud の場所フィールドに表示されます。

• REST API のバージョン 2 は 2024 年 7 月 30 日に廃止されました。サポートは終了し、まもなく削除されます。代わりに REST API V4 を使用してください。更新された API への移行に関するサポートが必要な場合は、「技術概要」を確認してください。

• 新しい IAST .NET エージェント (1.11.2)
  • ランタイム SCA のサポート。
  • スタートアップ・フックを使用した NuGet への代替インストール方法。

• 静的分析クライアントが 8.0.1574 に更新されました。
• Java 21 のサポート。さらに Java 21 は Static Analyzer コマンド行ユーティリティー (SAClientUtil) パッケージに含まれています。
• CLI コマンド queue_analysis は、静的分析 (SAST) とソフトウェア・コンポジション分析 (SCA) の両方のスキャン ID を表示します。
• オープン・ソースのみのスキャンまたは静的分析のみのスキャンを指定するために、appscan queue_analysis コマンドにパラメーター --oso と --sao を追加しました。
• .NET トレース検出結果の IFA 2.0が有効になっています。
• シークレット・スキャナーは PowerShell (.ps1) ファイルをスキャンします。
• ユーザーが 5000 を超えるアプリケーションを使用している場合に、コマンド・ライン・インターフェースまたは AppScan Go! からのスキャン送信が失敗しなくなりました。
• Angular、ASP、CSS、Dart、Java ソース・コード・スキャナー、JavaScript、JQuery、Objective-C、PHP、Python、シークレット・スキャナー、TerraForm、TypeScript、VueJS のルール更新。
• 全般的なバグ修正。

• AppScan on Cloud v4 REST API を使用するように自動更新されました。
• サードパーティーの脆弱性を修正。

• 自動修正: 調整された自動修正の推奨事項が GenAI の概要説明とともに AppScan on Cloud ユーザー・インターフェースに表示されるようになりました。以前の自動修正は、CodeSweep IDE プラグインでのみ使用できました。
• GitHub Enterprise 統合による SAST リポジトリー・スキャン: GitHub Enterprise リポジトリーで静的分析スキャンを実行します。

• ドメイン管理: 組織内のドメインを管理します。これには、異なる資産グループへの権限、ドメインの承認などが含まれますが、それらを検証する必要はありません。この機能は、シルバー、ゴールド、プラチナ、アプリケーションごとのサブスクリプションで使用可能になりました。ドメイン検証からドメイン管理への移行については、サポート・チームにお問い合わせください。

• SCA ランタイム: SCA は、IAST 機能を基盤として、ランタイムにアプリケーションで使用されるオープン・ソース・コンポーネントおよびライブラリーの脆弱性を特定し、管理できます。ランタイム SCA は、潜在的な脆弱性に対するより正確なコンテキストを提供するため、問題の修復と解決の優先順位付けに役立ちます。
• マルウェアの検出: ソフトウェア・コンポジション分析は、マルウェアとして疑われるオープン・ソース・ライブラリーを検出してレポートします。AppScan は、自動分析と人間の専門知識を組み合わせた包括的で高度なアプローチを採用しており、複数のリポジトリーをスキャンし、マルチドメイン分析を実行して総合的なセキュリティー評価を行います。パッケージの更新を継続的に監視し、標的型攻撃の検出とバイナリー解析を行うことで、隠れた脅威を発見できます。GLG のエキスパート・チームが疑わしい検出結果をレビューし、正確な結果を確実にします。
• メソッドおよびルート依存関係の識別: SCA メソッドおよびルート依存関係の詳細は、ソフトウェア・プロジェクト内のライブラリーの検出と分析を強化します。依存関係のルートは、脆弱なライブラリーを含む他のライブラリーを開始した元のライブラリーを表します。これにより、ユーザーは脆弱なパッケージの起源を理解できます。完全な依存関係の階層と情報が SBOM レポートに含まれます。

• Kubernetes 用 IAST: AppScan は Kubernetes クラスターへの IAST エージェントの自動インストールをサポートしており、Java、.NET、Node.js アプリケーションをサポートをしています。

• 新しいコンプライアンス レポート と ポリシー:
  • ネットワークおよび情報セキュリティー指令 (NIS2)
  • OWASP Cloud-Native Application Security Top 10
• 自動コメント伝播: 別のアプリケーションの同じ問題から現在のアプリケーションに最新のコメントと問題のステータスを自動的に伝播します。これにより、ステータスとコメントの両方が整合性を保ちながら更新され、すべてのアプリケーションで問題レコードが完全に同期されます。

• 「プラグインと API」ページを「統合」に変更し、AppScan on Cloudで使用可能なさまざまなサードパーティーの統合とカスタマイズをより明確かつ直感的に表現できるようにしました。
• Jira Cloud プラグインと AppScan on Cloud CLI を追加。
• AppScan 自動化フレームワークを削除。

• ソースおよびシンクとして RabbitMQ をサポートします。
• Privacy.DataLeakage タイプの脆弱性をサポートします。これは、パスワードが暗号化されずにデータベースまたは応答に書き込まれた場合に報告されます。
• AppDOS.Flood タイプの脆弱性をサポートします。これは、Vert.x アプリケーションが要求本文に制限を設定していない場合に報告されます。
• ソースが類似している場合に、安全でない Cookie と HTTP のみの Cookie に関する繰り返しレポートをマージします。

• アプリケーションの競合を回避するために、エージェントの依存関係を減らします。

• SAST スキャンは、パブリック GitHub リポジトリーから直接ソース・コードをプルするように設定およびスケジュールできるようになりました。「GitHub リポジトリーをスキャンする」を参照してください。
• SAST の検出結果をトリアージする際、ユーザーは GitHub.com 上で関連するソース・コードを直接確認できます。
• 検出結果をファイル名またはパスでフィルタリングできるようになったため、コードベースの特定の領域に焦点を当てることで、トリアージをより効率的に行うことができます。

• ドメイン検証ウィザードが拡張され、ユーザーはファイルをルート・フォルダーにデプロイした後で接続をテストできるようになりました。30 日以上検証が保留されているドメインは削除されます。ドメインは、検証ファイルがルート・フォルダーで検出されるか、電子メールの検証が確認されるまで、保留状態のままになります。

• 2 つの新しい業界標準レポートが追加されました。
  • OWASP API セキュリティー Top 10 2023
  • CWE 最も危険なソフトウェア脆弱性の Top 25 2023
• 以下のレポートが更新されました。
  • [米国] DISA アプリケーションのセキュリティーと導入 STIG バージョン 5 リリース 3
  • クレジット・カード業界データ・セキュリティー・スタンダード (PCI DSS) バージョン 4。

• このページには、AppScan on Cloud サービスの運用ステータスと定期保守に関するリアルタイムの情報が表示されます。AppScan on Cloud ポータルからアクセスできるようになりました。
• このページには以下の場所からアクセスできます。
  • AppScan on Cloud ポータル内では、各ページの上部にある「サポート」メニューから「AppScan リソース」ページにアクセスできます。「サービス状態」ページへのリンクは、「AppScan リソース」ページの下部にあります。
  • AppScan on Cloud 資料: ステータス・ページへのリンクは、「製品リソース」セクションの「はじめに」ページにあります。
  • URL を直接ブックマークできます。AppScan on Cloud サービス・ステータス・ページ。

• Vertx バージョン 3.x のサポート
• Vertx の API エンドポイント検出

• 依存関係を更新
• ビルド不要でランタイム中に .NET Core エージェントを代替的にデプロイする方法を提供 (ベータ版)

• 「スキャンの作成」ダイアログ・ボックスは、DAST スキャンのワークフローを合理化するように再設計されました。
• 「設定」ページは再設計され、構成が改善されました。ページ設定の変更には確認が必要になりました。
• 「相関グループ」ページは、使いやすさを向上させるために再設計されました。

• Vertx フレームワークを使用するお客様へのサポートの向上
• IAST Total のコンポーネント検出とより正確なスタック・レポートをサポート

• Ubuntu で PHP 8.3をサポート
• サーバー構成ファイルからの環境変数をサポート

静的分析クライアントが 8.0.1561 に更新されました。

• VertX フレームワークのサポートが追加されました。

• .NET 8 のサポートが追加されました。
• .NET での IAST Total のサポートが強化されました。
• 最適化

AppScan Go! では、更新および改善されたユーザー・インターフェースと洗練されたワークフローを使用して、静的、SCA、シークレット・スキャンの構成と実行を手順を追って実行できます。完全なスキャンの実行、後でスキャンするための IRX ファイルの準備、AppScan プラグインを使用してスキャンを自動化するためのファイルの設定を行うことができます。ツール内でアカウント情報を表示することもできます。