Welcome
管理
定義使用者、角色、群組、應用程式、原則與配置 DevOps 整合。
DevOps
將 ASoC 納入軟體開發生命週期的工具。
REST API
內建的 REST API 介面可讓您將 RESTful Web 服務視覺化。API 文件是使用 Swagger 來建置的，可讓您測試 API 作業並立即檢視結果，來協助您更快速地掃描應用程式。
匯出資料至 SARIF
您可以從產品 UI 和透過 Reports API，將資料匯出至 SARIF（靜態分析結果交換格式）。

開始使用
歡迎使用 HCL AppScan on Cloud 說明文件，您可以在這裡找到如何安裝、維護及使用此服務的相關資訊。
導覽
本節說明如何瀏覽 AppScan on Cloud，包含側邊主功能表和頂部導覽列上的項目，以及更詳細資訊的連結。
管理
定義使用者、角色、群組、應用程式、原則與配置 DevOps 整合。
- 使用應用程式
  應用程式是與相同專案相關的掃描集合。它可以是網站、桌面應用程式、行動應用程式、Web 服務或是應用程式的任何元件。應用程式可讓您評估風險、識別趨勢，並確保您的專案符合業界和組織原則的規範。
- DevOps
  將 ASoC 納入軟體開發生命週期的工具。
  - REST API
    內建的 REST API 介面可讓您將 RESTful Web 服務視覺化。API 文件是使用 Swagger 來建置的，可讓您測試 API 作業並立即檢視結果，來協助您更快速地掃描應用程式。
    - REST API 升級至 v4 的技術概觀
      REST API 4.0 版提供許多比先前版本 (v2) 更好的增強、最佳化和改善。API v4 使用與 v2 相同的存取記號來維持相容性，有助於將程式碼逐步移轉至 v4，同時仍能繼續使用現有記號。值得注意的是，API v4 的路徑字首已從 "/api/v2" 變更為"/api/v4/"。雖然許多函數的名稱與模型都沒有變動，以確保能從 "v2" 直接轉換為 "v4"，但部分函數已有所修改。本主題為技術指南，概述 API v4 導入的主要變更。
    - 產生 API 金鑰
      請使用「金鑰 ID」和「金鑰密碼」來存取 AppScan on Cloud REST API，並從某些 ASoC 用戶端工具登入（例如，從 Jenkins 外掛程式以及從 Static Analyzer 指令行公用程式和 IDE 外掛程式登入）。
    - OData
      本節提供透過 ASoC API 使用 Open Data 通訊協定 (OData) 的資訊和提示。
    - 匯出掃描資料
      本節介紹如何將掃描結果匯出為 CSV、JSON 或 SARIF。
    - 匯出資料至 SARIF
      您可以從產品 UI 和透過 Reports API，將資料匯出至 SARIF（靜態分析結果交換格式）。
    - DAST 掃描優先順序
      使用 API 為 DAST 掃描指派優先順序、管理 DAST 掃描佇列順序，以及控制掃描排程。
  - Webhook
    使用 Webhook 來接收有關在 AppScan on Cloud 中發生之事件的通知。
  - 整合
- 電子郵件通知
  使用電子郵件通知以接收有關掃描進度、結果、新 CVE 的主動警示，以及其他 AppScan 事件的通知。本主題說明如何配置通知設定、選取資產群組、應用程式和觸發條件，以及管理遞送選項。
- 個人掃描
  個人掃描是評估開發中應用程式相對安全性的一種方式，不會影響整體應用程式掃描資料（例如問題）或相符性。
- 掃描狀態
動態分析
AppScan on Cloud 可對正式作業、暫置及開發環境的 Web 應用程式執行安全掃描。針對開發環境，則會借助「專用網站掃描」技術的輔助，掃描無法透過開放網際網路存取的應用程式。
互動式監視
使用應用程式上安裝的代理程式，藉由監視所有合法與惡意的互動，ASoC 可在執行時期識別應用程式中的安全性漏洞。該處理程序是「被動的」，意即 IAST 不會傳送自己的測試，因此可無限期執行。
軟體組成分析
使用軟體組合分析 (SCA) 掃描程式碼所使用之開放原始碼和第三方套件中的安全漏洞。
靜態分析
使用靜態分析 (SAST) 掃描網路和桌面應用程式中的安全漏洞。靜態分析包括智慧型發現項目分析 (IFA) 和智慧型程式碼分析 (ICA)。
結果
「掃描及階段作業」頁面會在種類 DAST、SAST、SCA 和 IAST 下列出掃描，您可在其中檢視掃描結果，包括掃描統計資料。若要檢視、重新掃描或下載報告，請選擇一個掃描。「掃描及階段作業」頁面會在種類下列出掃描，您可在其中檢視掃描結果，包括掃描統計資料。若要檢視、重新掃描或下載報告，請選擇一個掃描。
AppScan on Cloud AI Assistant
AI Assistant 是一個在 AppScan on Cloud 環境中運作的整合式情報層。它提供了安全洞察、自動化問題分類，並提供補救指導。
AppScan 模型上下文通訊協定 (MCP) 伺服器
AppScan MCP 伺服器可將 HCL AppScan on Cloud 直接整合至 AI 驅動的開發環境和代理程式。透過實作模型上下文通訊協定 (MCP)，此伺服器可讓 LLM（例如 Claude 或在 VS Code 中執行的模型）安全地存取您的安全資料（包括 SAST、DAST、SCA 和 IAST 結果），以協助您分類問題、分析發現項目，並使用自然語言將工作流程自動化。
疑難排解
如果您遇到此服務方面的問題，可以執行這些疑難排解工作來判定要採取的更正動作。
常見問題和參照
常見問題、將 ASoC 整合至產品生命週期 (SDLC) 的相關資訊，以及 ASoC API 說明文件。

匯出資料至 SARIF

您可以從產品 UI 和透過 Reports API，將資料匯出至 SARIF（靜態分析結果交換格式）。

概觀

本產品可以從 UI 匯出對話框將 SAST 問題匯出為 SARIF 檔案。關於自動化和整合，SARIF 檔案會由 Reports API（而非 CSV 或 JSON 使用的 OData/匯出端點）來產生。

Reports API (SARIF) - 範例

Reports API 接受了一個指定報告類型 (SARIF)、範圍和過濾器的要求。

附註及限制

SARIF 匯出僅適用於 SAST 問題（不適用於 SCA/開放原始碼的發現項目）。
透過 API 產生 SARIF 可能需要特定的報告權限，且免費訂閱不提供此功能。