Welcome
软件组成分析
使用软件组成分析 (SCA) 来扫描代码所用的开源和第三方包中的安全漏洞。SCA 包括智能结果分析 (IFA) 和智能代码分析 (ICA)。
扫描库和第三方代码中的安全漏洞
要扫描开源库和第三方代码中的安全漏洞，请执行以下主题中的步骤。
使用命令行界面 (CLI) 生成 IRX 文件
要启动文件的分析，必须生成将提交进行扫描的 IRX 文件。要使用 CLI 生成 IRX 文件，请按照以下说明操作。
设置 Static Analyzer Command Line Utility 以与 SCA 配合使用
对于软件组成分析，下载小型 Command Line Utility。将该实用程序解压缩到本地磁盘时，可以使用其命令行界面 (CLI) 来执行安全性分析。
安装插件以与 Static Analyzer Command Line Utility 配合使用
此任务描述如何安装 IDE 插件，以与 Static Analyzer Command Line Utility 配合使用。

入门指南
欢迎使用 HCL AppScan on Cloud 文档，在其中可找到关于如何安装、维护和使用此服务的信息。
导航
本部分将介绍主 AppScan on Cloud 菜单栏上的项目，以及更详细信息的链接。
管理
定义用户、应用程序、策略以及配置 DevOps 集成。
动态分析
AppScan on Cloud 对生产、登台和开发环境的 Web 应用程序执行安全性扫描。对于开发环境，专用站点扫描技术可帮助扫描开放因特网无法访问的应用程序。
交互式监控
使用安装在应用程序上的代理程序，通过监控所有合法和恶意的交互，ASoC 可在运行时识别应用程序中的安全漏洞。从 IAST 不会发送其自有测试的意义上来说，该过程是“被动的”，因此可以无限期运行。
软件组成分析
使用软件组成分析 (SCA) 来扫描代码所用的开源和第三方包中的安全漏洞。SCA 包括智能结果分析 (IFA) 和智能代码分析 (ICA)。
- 关于软件组成分析
  软件组成分析 (SCA) 识别并检查代码库中的开源软件包，以检测潜在的安全漏洞。SCA 可以分析单独的源代码文件和软件包管理器工件（如配置文件和锁定文件），以确定项目所依赖的开源软件包。
- SCA 的系统需求
  在执行开源测试时 ASoC 可以扫描的文件类型。
- 扫描库和第三方代码中的安全漏洞
  要扫描开源库和第三方代码中的安全漏洞，请执行以下主题中的步骤。
  - 在以下项中配置开源扫描 AppScan on Cloud
  - 使用 AppScan Go! 配置扫描
    AppScan Go! 将引导您配置和运行静态扫描。在云中运行扫描，或者使用插件执行自动扫描。
  - 使用命令行界面 (CLI) 生成 IRX 文件
    要启动文件的分析，必须生成将提交进行扫描的 IRX 文件。要使用 CLI 生成 IRX 文件，请按照以下说明操作。
    - 设置 Static Analyzer Command Line Utility 以与 SCA 配合使用
      对于软件组成分析，下载小型 Command Line Utility。将该实用程序解压缩到本地磁盘时，可以使用其命令行界面 (CLI) 来执行安全性分析。
      - 安装插件以与 Static Analyzer Command Line Utility 配合使用
        此任务描述如何安装 IDE 插件，以与 Static Analyzer Command Line Utility 配合使用。
      - 删除 Static Analyzer Command Line Utility
        从集成开发环境 (IDE) 中删除 Static Analyzer Command Line Utility 插件。此外，将提供删除 Static Analyzer Command Line Utility 的说明。如果您打算从系统中删除 Static Analyzer Command Line Utility 组件，您只需遵照这些说明即可。如果您将这些组件升级至新的 Static Analyzer Command Line Utility 版本，则在安装新版本之前，插件安装会自动删除旧的组件。
    - 使用 CLI 配置 IRX 文件生成
      使用配置文件来生成 IRX 文件，可在配置文件中指定单独的目标，也可包含或排除目标。此外，还可使用配置文件指定能够帮助生成完整 IRX 文件的其他信息。
    - CLI 命令参考 (Windows)
      用于使用所下载并解压缩到本地磁盘的小型客户机命令行界面 (CLI) 来执行静态分析的 Windows 特定命令。
    - CLI 命令参考（Linux 和 macOS）
      用于使用所下载并解压缩到本地磁盘的小型客户机命令行界面 (CLI) 来执行静态分析的 Linux 特定命令。
  - 使用插件或 IDE 在 IRX 文件中生成
  - 使用软件物料清单 (SBOM) 报告生成 IRX 文件
    使用 REST API 根据 SPDX 2.3 格式的软件物料清单 (SBOM) 报告创建 IRX 文件。
  - 运行时软件组成分析
    识别和管理应用程序在运行时使用的开源组件和库中的漏洞。
- SCA 扫描结果
  SCA 扫描结果中可用的功能。
静态分析
使用静态分析 (SAST) 扫描 Web 和桌面应用程序中是否有安全漏洞。静态分析包括 Intelligent Finding Analytics (IFA) 和 Intelligent Code Analytics (ICA)。
结果
“扫描和会话”页面在 DAST、SAST、SCA 和 IAST 类别下列出扫描，您可以在其中查看扫描结果，包括扫描统计数据。要查看、重新扫描或下载报告，请选择扫描。“扫描和会话”页面在各个类别下列出扫描，您可以在其中查看扫描结果，包括扫描统计数据。要查看、重新扫描或下载报告，请选择扫描。
故障诊断
如果使用此服务时遇到问题，您可以执行这些故障诊断任务以确定要采取的纠正措施。
常见问题解答与参考资料
常见问题解答、有关将 ASoC 集成到产品生命周期 (SDLC) 的信息以及 ASoC API 文档。

安装插件以与 Static Analyzer Command Line Utility 配合使用

此任务描述如何安装 IDE 插件，以与 Static Analyzer Command Line Utility 配合使用。

关于此任务

要使用 Visual Studio 插件，必须先从相应的市场下载并安装该插件。

Visual Studio

要为 Static Analyzer Command Line Utility 安装 Visual Studio 插件：

在 Visual Studio 中，访问扩展选项。根据版本的不同，选择工具 > 扩展和更新或者扩展 > 管理扩展。
从列表中选择联机。
搜索 HCL。
选择并安装 HCL AppScan on Cloud 插件。