Différences entre les résultats d'analyse statique et les problèmes d'analyse dynamique

Cette rubrique décrit les différences entre les résultats et les problèmes de sorte que les rapports soient compréhensibles.

Description du mode d'affichage des problèmes d'analyse dynamique dans les rapports

Les rapports sur les problèmes de sécurité dynamique contiennent des problèmes logiques. Chaque problème peut être associé à une ou plusieurs variantes (variations, ou méthodes légèrement différentes) dans lesquelles ce problème a été identifié.

Par exemple, pour une requête HTTP particulière, plusieurs mutations sont exécutées au niveau de cette requête et renvoyées au serveur Web. La plupart de ces tests sont identiques, à l'exception de la charge envoyée. Dans certains cas, il peut s'agir d'un guillemet simple ou d'un crochet, etc. Si ces tests sont positifs, ils ont très probablement la même cause première et sont regroupés au sein d'un seul problème.

Cela permet de simplifier le triage requis une fois l'examen terminé. La plupart des problèmes sont associés à 10 variantes ou plus, ce qui réduit le nombre d'éléments dans le rapport que l'utilisateur doit consommer. La même logique s'applique lors de la résolution d'un problème affecté à un développeur, qui peut visualiser plusieurs exemples de la façon dont cette vulnérabilité a été détectée, regroupés à un seul emplacement.

Description du mode d'affichage des résultats d'analyse statique dans les rapports

Dans AppScan® Source, les résultats sont associés à une gravité et à une classification. La classification représente essentiellement le "niveau de fiabilité" d'un résultat particulier. La méthode d'importation et d'organisation des résultats d'analyse statique d'AppScan® Source est appliquée de façon très similaire à celle utilisée pour les problèmes d'analyse dynamique. Dans la plupart des cas, plusieurs résultats s'appliquent au même problème logique ; la même cause première et le même correctif seront appliqués.

Ces résultats sont regroupés dans des rapports, afin de traiter chaque résultat AppScan® Source sous la forme d'une variante ou variation du même problème logique. Lors du traitement, un résultat génère une variante, sauf dans de rares cas où il peut y avoir un doublon exact, auquel cas le doublon est supprimé. Des statistiques sont présentées pendant l'importation pour illustrer comment les résultats sont traités et mappés vers des problèmes. Cela permet non seulement de regrouper les résultats associés, mais de simplifier globalement le triage de ces problèmes.

Dans AppScan®Enterprise Server, les problèmes sont gérés à la place des résultats individuels, en partant du principe que, si un problème est un "faux positif", toutes les variations de ce problème sont également un faux positif et que, si un problème est "résolu", toutes les variations de ce problème sont également résolues.