新增功能 AppScan on Cloud

• 針對執行時期 SCA 問題使用更新的問題類型。
• 在無堆疊問題的方法簽章欄位中顯示 URL，該問題會顯示在 AppScan on Cloud 中的位置欄位。
• 已改善對 RabbitMQ 的支援。
• 使用新問題類型：PasswordLeakageDB 與 PasswordLeakageSentData。

• 針對執行時期 SCA 問題使用更新的問題類型。
• 在無堆疊問題的方法簽章欄位中顯示 URL，該問題會顯示在 AppScan on Cloud 中的位置欄位。

• REST API 版本 2 已於 2024 年 7 月 30 日淘汰，不再受到支援，且很快就會移除。請改用 REST API V4。請檢閱技術概觀，取得移轉至更新版 API 的協助。

• 新的 IAST .NET 代理程式 (1.11.2)
  • 支援執行時期 SCA。
  • 使用啟動掛鉤為 NuGet 提供的替代安裝方法。

• 靜態分析用戶端已更新至 8.0.1574 版。
• 支援 Java 21。此外，Static Analyzer 指令行公用程式 (SAClientUtil) 套件中也包含 Java 21。
• CLI 指令 queue_analysis 會顯示靜態分析 (SAST) 與軟體組成分析 (SCA) 的掃描 ID。
• 將參數 --oso 和 --sao 新增至 appscan queue_analysis 指令，以指定僅開放原始碼掃描或僅靜態分析掃描。
• 已針對 .NET 追蹤發現項目啟用 IFA 2.0。
• 機密掃描器會掃描 PowerShell (.ps1) 檔案。
• 當使用者擁有超過 5000 個應用程式時，從指令行介面或 or AppScan Go! 提交的掃描不再失敗。
• 以下項目的規則更新：Angular、ASP、CSS、Dart、Java 原始碼掃描器、JavaScript、JQuery、Objective-C、PHP、Python、密碼掃描器、TerraForm、TypeScript 和 VueJS。
• 一般錯誤修正。

• 更新 AutoUpdate 以使用 AppScan on Cloud v4 REST API。
• 已修正第三方漏洞。

• 自動修正：策劃的自動修正建議現在在 AppScan on Cloud 使用者介面中提供 GenAI 摘要說明。先前的自動修正僅適用於 CodeSweep IDE 外掛程式。
• 用於 SAST 儲存庫掃描的 GitHub Enterprise 整合：對 GitHub Enterprise 儲存庫執行靜態分析掃描。

• 網域管理：管理您組織內的網域，包括不同資產群組的權限，以及網域授權，而無需進行驗證。此功能現在適用於銀級、金級、白金級和個別應用程式訂閱。若要從網域驗證移轉至網域管理，請聯絡支援團隊以取得協助。

• SCA 執行時期：SCA 以 IAST 功能為基礎，可辨識及管理應用程式在執行時期所使用之開放原始碼元件和程式庫的漏洞。執行時期 SCA 為潛在漏洞提供更準確的內容，因此，有助於排定問題修復與解決的優先順序。
• 惡意軟體偵測：軟體組成分析可偵測並報告視為惡意軟體的開放原始碼程式庫。AppScan 採用全方位的進階方法，結合自動化分析與真人專業，掃描多個儲存庫，並執行多網域分析，以進行全面的安全評估。我們會持續監控套件更新，搭配目標式攻擊偵測與二進位分析，有助於發現隱藏的威脅。我們的專家團隊會檢閱可疑的發現項目，以確保結果準確無誤。
• 方法和根目錄相依性識別：SCA 方法及根目錄相依性詳細資料可增強軟體專案中程式庫的偵測與分析。相依性根目錄代表啟動併入其他程式庫的原始程式庫，這些程式庫會導致併入有漏洞的程式庫，進而讓使用者能夠瞭解有漏洞程式庫的來源。完整的相依性階層和資訊包含在 SBOM 報告中。

• 適用於 Kubernetes 的 IAST：AppScan 支援在 Kubernetes 叢集上自動安裝 IAST 代理程式，並支援 Java、.Net 和 Node.js 應用程式。

• 新合規性報告和原則：
  • 網路與資訊安全指引 (NIS2)
  • OWASP 雲端原生應用程式安全前 10
• 自動註解傳播：自動將最新註解與其他應用程式中相同問題的問題狀態一起傳播到目前應用程式。這可確保狀態和註解均持續更新，進而在所有應用程式中提供完整且同步的問題記錄。

• 將外掛程式與 API 頁面重新命名為整合，可更清楚、更直覺地呈現 AppScan on Cloud 中提供的各種第三方整合與自訂功能。
• 已新增 Jira Cloud 外掛程式和 AppScan on Cloud CLI。
• 已移除 AppScan 自動化架構。

• 支援 RabbitMQ 作為來源和接收槽。
• 支援 Privacy.DataLeakage 類型的漏洞，將密碼未加密寫入資料庫或回應時報告。
• 支援 AppDOS.Flood 類型的漏洞，當 Vert.x 應用程式未設定要求內文限制時報告。
• 當來源類似時，合併對於不安全和僅 HTTP Cookie 的重複報告。

• 減少代理程式相依性，以避免應用程式衝突。

• SAST 掃描現可配置和排程，直接從公開的 GitHub 儲存庫擷取原始碼。請參閱掃描 GitHub 儲存庫。
• 使用者可在分類 SAST 發現項目時，直接在 GitHub.com 上檢視相關的原始碼。
• 發現項目現可依檔案名稱或路徑進行過濾，將重點放在代碼庫的特定區域，以更有效率的方式進行分類。

• 網域驗證精靈的功能已加強，可讓使用者在將檔案放入根資料夾後測試連線。超過 30 天的待驗證網域將會刪除。在根資料夾中偵測到驗證檔案或確認電子郵件驗證之前，網域會保持擱置狀態。

• 已新增兩份業界標準報告：
  • 2023 年 OWASP 前 10 大 API 安全性
  • 2023 年 CWE 前 25 大最危險的軟體弱點
• 下列報告已更新：
  • [美國] DISA 的應用程式安全與開發 STIG，版本 5 發行版本 3
  • 付款卡產業資料安全標準 (PCI DSS) 版本 4

• 此頁面提供有關 AppScan on Cloud 服務運作狀態和規劃維護的即時資訊。現在可從 AppScan on Cloud 入口網站存取。
• 您可以從下列位置存取此頁面：
  • 在 AppScan on Cloud 入口網站中，AppScan 資源頁面可從每個頁面頂端的「支援」功能表下存取。服務狀態頁面的連結位於「AppScan 資源」頁面的底部。
  • AppScan on Cloud 說明文件：狀態頁面的連結可在「產品資源」區段下的入門手冊頁面上找到。
  • 您可以直接將 URL 加入書籤：AppScan on Cloud 服務狀態頁面。

• 支援 Vertx 版本 3.x。
• 適用於 Vertx 的 API 端點探索。

• 更新相依關係
• 在執行時期進行.NET Core 代理程式的替代部署，無需進行構建（測試版）。

• 「建立掃描」對話框已重新設計，提供簡化 DAST 掃描的工作流程。
• 設定頁面經過重新設計並具有改善的組織，且現在頁面設定變更時需要確認。
• 關聯性群組頁面已重新設計，提供更加容易的使用體驗。

• 已改善對使用 Vertx 架構的客戶的支援。
• 支援 IAST 總計的元件探索與更準確的堆疊報告。

• 在 Ubuntu 上支援 PHP 8.3。
• 支援來自伺服器配置檔的環境變數。

靜態分析用戶端已更新至 8.0.1561 版。

• 已新增支援 VertX 架構。

• 已新增支援 NET 8。
• 已增強對 .NET 上 IAST 總計的支援。
• 最佳化。

AppScan Go! 利用重新整理且改善的使用者介面和改良的工作流程，逐步引導您設定和執行靜態、SCA 或機密掃描。您可以執行完整掃描、準備 IRX 檔案以稍後掃描，或設定檔案以使用 AppScan 外掛程式進行自動掃描。您也可以在工具內檢視帳戶資訊。