Welcome
动态分析
AppScan on Cloud 对生产、登台和开发环境的 Web 应用程序执行安全性扫描。对于开发环境，专用站点扫描技术可帮助扫描开放因特网无法访问的应用程序。
关于动态分析 (DAST)
ASoC 动态 (DAST) 扫描中包含两个阶段：探索和测试。即使大多数扫描过程对用户是无缝的，并且在扫描完成之前不需要输入，但了解动态扫描的工作方式可以帮助您更好地了解扫描在开发过程中的作用。
系统要求
查看使用 AppScan on Cloud 进行动态应用程序安全测试 (DAST) 扫描时特定于 DAST 的系统和基础结构要求。

入门指南
欢迎使用 HCL AppScan on Cloud 文档，在其中可找到关于如何安装、维护和使用此服务的信息。
导航
本部分介绍了 AppScan on Cloud 中的导航功能，包括侧边主菜单和顶部导航栏中的项目，并提供了相关详细信息的链接。
管理
定义用户、角色、组、应用程序、策略以及配置 DevOps 集成。
动态分析
AppScan on Cloud 对生产、登台和开发环境的 Web 应用程序执行安全性扫描。对于开发环境，专用站点扫描技术可帮助扫描开放因特网无法访问的应用程序。
- 关于动态分析 (DAST)
  ASoC 动态 (DAST) 扫描中包含两个阶段：探索和测试。即使大多数扫描过程对用户是无缝的，并且在扫描完成之前不需要输入，但了解动态扫描的工作方式可以帮助您更好地了解扫描在开发过程中的作用。
  - DAST 工作流
    动态分析扫描步骤概述。
  - 探索
    已记录的探索功能允许您爬取应用程序的特定部分，以将ASoC“引导”到这些区域，确保它们在 DAST 扫描中经过测试，并确保 ASoC 具有按特定顺序浏览链接所需的信息。
  - 系统要求
    查看使用 AppScan on Cloud 进行动态应用程序安全测试 (DAST) 扫描时特定于 DAST 的系统和基础结构要求。
- 动态扫描 (DAST)
  ASoC 可对在浏览器或 Web API 中运行的应用程序执行动态分析。使用 ASoC 中可用于 Web 应用程序和 Web API 的配置选项，或者上载 AppScan Standard 配置（模板文件）或完整扫描文件。
- AppScan Presence
  借助 AppScan Presence（位于您的服务器上），您可以扫描无法通过互联网访问的站点，并将扫描作为您的功能测试的一部分。
- 记录流量
  您可以使用 AppScan Activity Recorder 浏览器扩展（适用于 Chrome 或 Edge）、HCL AppScan 流量记录器代理服务器或 AppScan Standard 来记录流量，作为 DAST 扫描已记录的探索数据。
- HCL AppScan 流量记录器
  借助 HCL AppScan 流量记录器（DAST 代理），您可以记录流量以用作探索数据。可按需创建流量记录器实例，以记录稍后将用于 DAST 扫描的流量。
- IAST Total
  IAST Total（交互式应用程序安全测试）利用 IAST 功能增强动态分析 (DAST) 扫描效果，缩短扫描和修复时间，同时还能发现更广泛的漏洞。
- AppScan Standard
- 专用站点
  借助您的服务器上的 AppScan Presence，您可以扫描无法从互联网访问的站点。
交互式监控
使用安装在应用程序上的代理程序，通过监控所有合法和恶意的交互，ASoC 可在运行时识别应用程序中的安全漏洞。从 IAST 不会发送其自有测试的意义上来说，该过程是“被动的”，因此可以无限期运行。
软件组成分析
使用软件组成分析 (SCA) 来扫描代码所用的开源和第三方包中的安全漏洞。
静态分析
使用静态分析 (SAST) 扫描 Web 和桌面应用程序中是否有安全漏洞。静态分析包括 Intelligent Finding Analytics (IFA) 和 Intelligent Code Analytics (ICA)。
结果
“扫描和会话”页面在 DAST、SAST、SCA 和 IAST 类别下列出扫描，您可以在其中查看扫描结果，包括扫描统计数据。要查看、重新扫描或下载报告，请选择扫描。“扫描和会话”页面在各个类别下列出扫描，您可以在其中查看扫描结果，包括扫描统计数据。要查看、重新扫描或下载报告，请选择扫描。
AppScan on Cloud AI 助手
AI 助手是一个在 AppScan on Cloud 环境中运行的集成智能层。它可以提供安全洞察，自动完成问题筛选并提供补救指导。
AppScan Model Context Protocol (MCP) 服务器
AppScan MCP 服务器将 HCL AppScan on Cloud 直接与 AI 赋能的开发环境和代理程序进行集成。通过实施 Model Context Protocol (MCP)，此服务器允许 LLM（如 Claude 或在 VS Code 中运行的模型）安全地访问您的安全数据（包括 SAST、DAST、SCA 和 IAST 结果），以帮助您利用自然语言筛选问题、分析结果和实现工作流程自动化。
故障诊断
如果使用此服务时遇到问题，您可以执行这些故障诊断任务以确定要采取的纠正措施。
常见问题解答与参考资料
常见问题解答、有关将 ASoC 集成到产品生命周期 (SDLC) 的信息以及 ASoC API 文档。

DAST 的系统要求

查看使用 AppScan on Cloud 进行动态应用程序安全测试 (DAST) 扫描时特定于 DAST 的系统和基础结构要求。

一般系统要求

有关一般系统要求（包括服务连接、受支持的浏览器、屏幕分辨率和网络信息），请参阅系统要求和版本支持。

DAST 要求和限制概述

以下是 DAST 扫描的关键要求和限制：

互联网可访问性：经过测试的应用程序必须向互联网开放。如果您的应用程序未向互联网开放，则您必须在启动扫描前使用 AppScan Presence 设置专用站点扫描。
域验证或管理：开始扫描之前，您必须验证域或将其添加到允许的域列表中。您可以访问的“域”页面取决于您的订阅。
ADNS 测试配置：要使用 ADNS 进行高级测试，请确保防火墙配置允许通过端口 53（DNS 协议）连接到 ADNS.appscan.com。
DAST IFA：如果您使用任何 DAST IFA 功能，则需要 Azure OpenAI 帐户。

最佳实践

以下要求适用于 DAST 扫描：

环境：如果可能，建议在暂存而不是生产站点上运行 DAST 扫描。在实时生产站点运行 DAST 扫描可能会影响站点稳定性。
运行状态：应用程序必须处于运行状态，并可从扫描环境进行访问。

特定于 DAST 的网络要求

有关全面的网络要求、数据中心信息和 IP 地址，请参阅系统要求主题中的 DAST 技术要求。

此外：

对于专用站点扫描，请安装和配置 AppScan Presence 以访问隔离网络。
请参阅 Presence 系统要求获取更多信息。

高级测试的 AppScan DNS (ADNS) 服务器要求

利用 AppScan DNS (ADNS) 功能时，需要正确的防火墙和网络配置。借助 ADNS 测试，AppScan on Cloud 可通过监视目标应用程序在扫描期间触发的 DNS 查找查询来识别与 DNS 相关的安全漏洞和带外安全问题。

服务器域：ADNS.appscan.com
协议和端口：端口 53 上的 DNS 协议
连接要求：目标 Web 应用程序必须具有对 ADNS 服务器的出站访问权限，才能启用 ADNS 测试。确保防火墙配置允许目标应用程序向 ADNS 服务器发送 DNS 查询。
目的：借助 ADNS 测试，AppScan on Cloud 可通过 DNS 查找查询来识别与 DNS 相关的安全漏洞和潜在安全问题，例如与 Log4j 相关的问题。

特定于 DAST 的限制和注意事项

专用站点扫描并发：单个专用站点扫描 (PSS) Presence 客户机支持多达 15 个并发 DAST 扫描。
并发性基于并发许可证的数量。例如，如果您有两个并发许可证，则可以同时运行两个扫描，并且任何其他扫描都将进入队列等待运行。