Welcome
動態分析
AppScan on Cloud 可對正式作業、暫置及開發環境的 Web 應用程式執行安全掃描。針對開發環境，則會借助「專用網站掃描」技術的輔助，掃描無法透過開放網際網路存取的應用程式。
動態掃描 (DAST)
ASoC 可以對執行於瀏覽器或 Web API 中的應用程式執行動態分析。使用 ASoC 中 Web 應用程式或 Web API 可以使用的配置選項，或上傳 AppScan Standard 配置（範本檔案）或完整掃描檔。
建立 API 掃描
ASoC 支援用於掃描 Web API 的不同工作流程。如果您對 Web API 有 Postman 集合、OpenAPI 規格檔或記錄的流量，可以透過使用 API 掃描配置來將其匯入並作為掃描基礎。或者，您也可以將 Postman 集合檔案或 OpenAPI 規格檔與 REST API 搭配使用。
使用記錄的流量
如果您對 Web API 有記錄的流量，可以將其匯入並用作掃描基礎。例如，如果有不屬於 Postman 集合一部分的 API 端點，或者如果您有 API 功能自動化，您可以在 API 自動化執行時記錄流量，並將流量送往 AppScan 進行安全測試。

開始使用
歡迎使用 HCL AppScan on Cloud 說明文件，您可以在這裡找到如何安裝、維護及使用此服務的相關資訊。
導覽
本節說明如何瀏覽 AppScan on Cloud，包含側邊主功能表和頂部導覽列上的項目，以及更詳細資訊的連結。
管理
定義使用者、角色、群組、應用程式、原則與配置 DevOps 整合。
動態分析
AppScan on Cloud 可對正式作業、暫置及開發環境的 Web 應用程式執行安全掃描。針對開發環境，則會借助「專用網站掃描」技術的輔助，掃描無法透過開放網際網路存取的應用程式。
- 關於動態分析 (DAST)
  ASoC 動態 (DAST) 掃描由兩個階段組成：「探索」和「測試」。雖然大多數掃描程序對使用者而言都很順暢，而且在掃描完成前不需要輸入，但瞭解動態掃描的運作方式有助於您更瞭解掃描在開發程序中所扮演的角色。
- 動態掃描 (DAST)
  ASoC 可以對執行於瀏覽器或 Web API 中的應用程式執行動態分析。使用 ASoC 中 Web 應用程式或 Web API 可以使用的配置選項，或上傳 AppScan Standard 配置（範本檔案）或完整掃描檔。
  - 建立 Web 應用程式掃描
    提供掃描的「起始 URL」和使用者認證、選取網站類型，以及（如果先前沒有這麼做的話）驗證您掃描網站的許可權。
  - 建立 LLM 掃描
    設定供應商存取權限，擷取具代表性的大型語言模型 (LLM) 互動序列，啟用所需功能，並在受控測試環境中執行 AppScan LLM 安全掃描。
  - 建立 API 掃描
    ASoC 支援用於掃描 Web API 的不同工作流程。如果您對 Web API 有 Postman 集合、OpenAPI 規格檔或記錄的流量，可以透過使用 API 掃描配置來將其匯入並作為掃描基礎。或者，您也可以將 Postman 集合檔案或 OpenAPI 規格檔與 REST API 搭配使用。
    - 使用 Postman 集合
      如果您對 Web API 有要求的 Postman 集合，可以透過使用 API 掃描配置精靈或 REST API 來將其匯入並用作掃描基礎。
    - 使用 OpenAPI 規格檔
      您可以使用 OpenAPI 規格檔來自動掃描您的 API。如此可確保掃描更徹底準確，有助於找出整個 API 中的潛在問題。
    - 使用記錄的流量
      如果您對 Web API 有記錄的流量，可以將其匯入並用作掃描基礎。例如，如果有不屬於 Postman 集合一部分的 API 端點，或者如果您有 API 功能自動化，您可以在 API 自動化執行時記錄流量，並將流量送往 AppScan 進行安全測試。
  - 從範本中建立掃描
    您可以上傳自己的 AppScan Standard 範本 (SCANT) 檔案，或使用與您的應用程式相關聯的已儲存範本來執行 ASoC 掃描。
  - 從掃描檔案中建立掃描
    您可以上傳自己的 AppScan Standard 掃描 (SCAN) 檔，以執行 ASoC 掃描。
  - 建立增量掃描
  - 回復掃描
    若掃描因與掃描本身無直接關聯的外部問題而失敗或僅部分完成，您可在解決該外部問題後回復掃描，例如掃描期間發生伺服器中斷問題。
  - 測試自動化
    在功能測試中納入動態掃描。
  - 用戶端憑證
  - 智慧型發現項目分析 (IFA)
    智慧型發現項目分析 (IFA) 運用人工智慧 (AI) 和機器學習 (ML) 分析資料、找出模式並進行預測，最終將資料轉換為可據以實行的洞察資訊。IFA 透過先進的方法來尋找更深入的涵義並做出明智的決策，進而超越一般資料分析。
- AppScan Presence 進行私有網站掃描
  您伺服器上的 AppScan Presence 可讓您掃描無法從隔離網路區段之網際網路存取的網站，，並可將掃描納入您的功能測試。
- 記錄資料流量
  您可以使用 AppScan 活動記錄器瀏覽器擴充功能（適用於 Chrome 或 Edge）、HCL AppScan 資料流量記錄器 Proxy 伺服器或 AppScan Standard，將流量記錄為 DAST 掃描的已記錄探索資料。
- HCL AppScan 資料流量記錄器
  HCL AppScan 資料流量記錄器 (DAST Proxy) 可讓您記錄資料流量，以當作探索資料使用。您可以依需求建立資料流量記錄器實例，以記錄稍後將用於 DAST 掃描的資料流量。
- IAST 總計
  「IAST 總計」（互動式應用程式安全測試）運用 IAST 功能增強動態分析（DAST）掃描，改善掃描與補救時間，同時發現更廣泛的漏洞。
- AppScan Standard
- 私有網站
  在您伺服器上的 AppScan Presence，可讓您掃描無法從網際網路存取的網站。
互動式監視
使用應用程式上安裝的代理程式，藉由監視所有合法與惡意的互動，ASoC 可在執行時期識別應用程式中的安全性漏洞。該處理程序是「被動的」，意即 IAST 不會傳送自己的測試，因此可無限期執行。
軟體組成分析
使用軟體組合分析 (SCA) 掃描程式碼所使用之開放原始碼和第三方套件中的安全漏洞。
靜態分析
使用靜態分析 (SAST) 掃描網路和桌面應用程式中的安全漏洞。靜態分析包括智慧型發現項目分析 (IFA) 和智慧型程式碼分析 (ICA)。
結果
「掃描及階段作業」頁面會在種類 DAST、SAST、SCA 和 IAST 下列出掃描，您可在其中檢視掃描結果，包括掃描統計資料。若要檢視、重新掃描或下載報告，請選擇一個掃描。「掃描及階段作業」頁面會在種類下列出掃描，您可在其中檢視掃描結果，包括掃描統計資料。若要檢視、重新掃描或下載報告，請選擇一個掃描。
AppScan on Cloud AI Assistant
AI Assistant 是一個在 AppScan on Cloud 環境中運作的整合式情報層。它提供了安全洞察、自動化問題分類，並提供補救指導。
AppScan 模型上下文通訊協定 (MCP) 伺服器
AppScan MCP 伺服器可將 HCL AppScan on Cloud 直接整合至 AI 驅動的開發環境和代理程式。透過實作模型上下文通訊協定 (MCP)，此伺服器可讓 LLM（例如 Claude 或在 VS Code 中執行的模型）安全地存取您的安全資料（包括 SAST、DAST、SCA 和 IAST 結果），以協助您分類問題、分析發現項目，並使用自然語言將工作流程自動化。
疑難排解
如果您遇到此服務方面的問題，可以執行這些疑難排解工作來判定要採取的更正動作。
常見問題和參照
常見問題、將 ASoC 整合至產品生命週期 (SDLC) 的相關資訊，以及 ASoC API 說明文件。

使用記錄的流量建立 API 掃描

如果您對 Web API 有記錄的流量，可以將其匯入並用作掃描基礎。例如，如果有不屬於 Postman 集合一部分的 API 端點，或者如果您有 API 功能自動化，您可以在 API 自動化執行時記錄流量，並將流量送往 AppScan 進行安全測試。

開始之前

在掃描之前先備份網站。
如果您尚未執行此操作，請為您的掃描建立應用程式。
請向 ASoC 驗證您具有掃描網域的許可權（請參閱驗證網域），或者您也可以在不使用網域管理進行驗證的情況下授權網域。
如果您的網站無法在網際網路上存取，而且伺服器上還未存在 AppScan Presence ：建立 AppScan Presence。
如果要掃描即時正式作業網站，請先參閱掃描即時正式作業網站時，我應該進行哪些變更？

執行這項作業的原因和時機

請確定您有使用下列其中一種方法記錄的記錄流量檔案：

使用活動記錄器透過 Swagger UI 記錄
具 Postman 或 SoapUI 的 AppScan Standard
使用流量記錄器

若為 Web API，最佳選項通常為 HCL AppScan 資料流量記錄器。

程序

在特定「應用程式」頁面上，按一下「建立掃描」，然後按一下「DAST 動態分析」下的「建立掃描」。
在「建立掃描: DAST」對話框，選擇「API 掃描」以開始設定。
選取 API 探索方法「已記錄的資料流量」。
將您的檔案拖放到標示區，或按一下「新增」圖示以瀏覽並新增具有記錄流量的 dast.config 檔案。
在「要測試的網域」區段中，您必須新增要包含在掃描中的所有經過驗證/獲得允許的網域。這兩種格式都有效：
- https://demo.testfire.net/
- demo.testfire.net
重要：
未列出的網域不會經過掃描。
根據需要配置其他掃描選項，例如鑑別、測試原則和其他進階設定。如需相關資訊，請參閱建立 API 掃描。
按一下「掃描」。系統會匯入記錄的流量檔案。執行掃描以偵測您 Web API 中的任何漏洞。

下一步

您可以在掃描和階段作業頁面上檢視掃描狀態。