之前的更新 2023

利用这种静态和开源扫描技术的分离，可以更加灵活地测试策略。您只能使用 SCA 扫描开源库，并在特定于 SCA 的单一扫描视图中处理问题，或者根据组织需求对文件运行静态和开源扫描。

利用 DAST 向导测试选项，可指定是否将测试发送到登录和注销页面。

资产组是管理用户的数据访问权的有用方法。通过此更新的用户界面，您可以轻松定义和管理资产组，从而更好地管理哪些团队成员可使用特定数据。

AppScan on Cloud 可识别级联样式表中的安全漏洞，包括跨站点脚本编写、注入和验证。

可以将 Static Analyzer Command Line Utility 配置为利用 WebSphere 环境使用 WebSphere 附带的 JSP 编译器。

AppScan on Cloud 改进了 HTML 文件中 PHP 内容的验证。

AppScan 开发团队会定期审查功能和代码，持续进行微调和调整，以提供最佳的扫描功能。

• 更正了当用户设置的代理设置不正确时显示的消息。
• 更新了 IAST 日志，以包括日期和时间。

• “检测到的API”，对于报告应用程序 API 完整列表的问题，将使用新的问题类型，而不是“其他”问题类型。
• 改进的部署过程：在 Java V9 和更高版本中不再需要设置 BC_SB 环境变量。
• Java 的其他框架支持：Spring 6。
• OWASP 测试：改进的日志记录功能，用于演示目的。有关更多信息，请参阅使用 IAST 代理程序的 OWASP Benchmark。

• 支持增量扫描，通过标识应用程序中的新区域和更改并将扫描集中到这些区域，显著缩短了 DAST 重新扫描时间。

• 更新：如 2023 年 9 月 5 日的新增功能所述，仅通过 AppScan Standard Connect 上载至 AppScan on Cloud 的 AppScan 结果将包括易受攻击的组件结果。目前，ASoC 上的 DAST 扫描不支持此功能。

• 单个扫描视图：现在，除了“问题总数”和“新问题”之外，还包括显示“活动问题”的选项。活动问题是状态为“新（已弃用）”、“未解决”、“进行中”或“已重新打开”的问题。此外，对“按严重性列出的问题”图表进行了改进。
• 现在，您可以分配最多三个唯一 Presence，并将应用程序的扫描仅限于这些 Presence。

使用 --enableSecrets 和 --secretsOnly 选项扫描密钥。

• 创建应用程序：新的快速设置让您只能通过指定名称和资产组来创建应用程序。您可以在以后使用“编辑应用程序”添加其他参数。
• 具有许可权的用户现在可以从“创建应用程序”和“编辑应用程序”对话框中创建新的资产组。

• 扫描配置向导现在支持向扫描添加其他域。
• 仪表板：“具有最多活动问题的应用程序”图表取代了“常见问题类型”图表。
• 由于添加了新的配置选项（如自动表单填充），因此删除了选择暂存或生产环境的选项。有关详细信息，请参阅 为什么我不能再指定要暂存或生产的环境？

• 创建扫描 API：DAST 线程数现在支持多达 20 个线程。
• 现在，开源信息将在库级别而非文件级别显示，其中包含更多合并数据和准确的数据。

• 更新了图标和徽标
• 常规错误修复

• 性能改进
• 新增了新漏洞：
  • 敏感 API 需要日志记录– CWE 778（OWASP top10 2021 列表中的 A09:2021 – 安全性日志记录和监控）。支持使用 log4j 的应用程序。
  • 正则表达式注入 (CWE 624)。
• API 检测：新问题报告了在应用程序中检测到的所有 API。支持 Spring 应用程序。

• 缺陷修订和性能改进
• 在 .NET Core 中支持 WebSockets
• 新漏洞类型：缺少“Content-Security-Policy”标头 (CWE 1032)，缺少“Referrer policy”安全性标头 (CWE 200)
• 为使用 System.Net.WebClient 的客户提供基本支持