Welcome
Présentation du produit
Interactive Application Security Testing (IAST) dans AppScan Enterprise
OWASP Benchmark avec l'agent IAST
Le projet OWASP Benchmark est une suite de tests Java conçue pour évaluer les outils de détection de vulnérabilités logicielles. L'agent Java HCL AppScan IAST est entièrement conforme au OWASP Benchmark.

Bienvenu
Bienvenue dans la documentation HCL AppScan Enterprise 10.10.0, où vous pouvez trouver des informations sur l'installation, la maintenance et l'utilisation de HCL AppScan Enterprise.
Fonctionnalités d'accessibilité pourAppScan® Enterprise
Les fonctions d'accessibilité permettent aux utilisateurs souffrant d'un handicap (mobilité ou vision réduite, par exemple) de se servir efficacement des produits utilisant les technologies de l'information.
Présentation du produit
- Gestion de la sécurité des applications
  La sécurité traite de la protection des ressources importantes. Votre organisation possède des ressources importantes sous forme d'informations, d'éléments de propriété intellectuelle, de plans stratégiques et de données client. La protection de ces informations est critique pour que votre organisation fonctionne, soit compétitive et réponde aux exigences en matière de réglementation.
- Composants AppScan® Enterprise
  HCL® AppScan® Enterprise permet aux organisations d'atténuer les risques pour la sécurité des applications, de renforcer les initiatives de gestion des programmes de sécurité d'application et de se mettre en conformité avec les réglementations. Les équipes de sécurité et de développement peuvent collaborer, établir des stratégies et des tests d'échelle tout au long du cycle de vie de l'application. Les tableaux de bord d'Enterprise permettent de classifier et de définir les priorités des ressources d'application en fonction de l'impact métier et d'identifier les zones à haut risque, vous permettant ainsi d'optimiser vos efforts de résolution. Des attributs de performance sont fournis pour vous aider à surveiller la progression des programmes de sécurité de votre application.
- Initiation à la gestion de la sécurité des applications
  En fonction de votre rôle, vous pouvez vous initier à différentes zones du produit.
- Nouveautés dans HCL AppScan® Enterprise
  Cette section décrit les nouvelles fonctionnalités et améliorations du produit AppScan Enterprise dans cette version, ainsi que les dépréciations et les changements anticipés, le cas échéant.
- Interactive Application Security Testing (IAST) dans AppScan Enterprise
  - Octroi de licence pour l'agent IAST
  - Configuration du service de communication IAST dans AppScan Enterprise Server
    Le service de communication IAST est automatiquement configuré lors de l'exécution de l'assistant de configuration.
  - Téléchargement et déploiement d'un agent IAST Java sur le serveur Web
    Vous devez télécharger et déployer un agent IAST sur le serveur Web de l'application testée pour surveiller le trafic envoyé pendant l'exécution et signaler les vulnérabilités découvertes.
  - Téléchargement et déploiement d'un type d'agent IAST .NET ou .NET Core
    Vous pouvez déployer un agent IAST sur le serveur Web de l'application testée qui prend en charge les applications Java, .NET, .NET Core ou Node.js. Cette section explique comment créer un type d'agent IAST .NET ou .NET Core sur votre serveur Web.
  - Téléchargement et déploiement du type d'agent IAST Node.js
    Vous pouvez déployer un agent IAST sur le serveur Web de l'application testée qui prend en charge les applications Java, .NET ou Node.js. Cette section explique comment créer un type d'agent Node.js sur votre serveur Web.
  - Téléchargement et déploiement des agents IAST PHP
    Utilisez cette procédure pour télécharger l'AppScan Enterprise agent PHP IAST et le déployer dans votre environnement de serveur d'application (Windows, Ubuntu ou Red Hat). L'agent IAST PHP surveille votre application web en cours d'exécution pendant les tests d'exécution (manuels ou automatisés) et signale les vulnérabilités à AppScan Enterprise.
  - Gestion d'agents IAST dans AppScan Enterprise
    AppScan Enterprise peut prendre en charge plusieurs agents IAST pour une seule application.
  - OWASP Benchmark avec l'agent IAST
    Le projet OWASP Benchmark est une suite de tests Java conçue pour évaluer les outils de détection de vulnérabilités logicielles. L'agent Java HCL AppScan IAST est entièrement conforme au OWASP Benchmark.
- Détection des composants vulnérables à l'aide d'AppScan
  AppScan améliore la sécurité des applications en identifiant et en signalant les vulnérabilités des composants tiers, garantissant ainsi la protection des entreprises contre les menaces potentielles. Cela permet de prévenir les vulnérabilités non détectées et assure la continuité des activités.
- Examens DAST plus intelligents avec l'analyse de résultats intelligente (IFA)
  Intelligent Finding Analytics (IFA) utilise l'intelligence artificielle (IA) pour améliorer la précision des analyses DAST en minimisant les faux positifs et en optimisant la sélection des tests.
- Technologies prises en charge
- Problèmes connus et solutions
  Vous trouverez ci-après les problèmes connus et les solutions palliatives.
- Fonctions obsolètes
  Si vous migrez depuis une version antérieure d'AppScan® Enterprise, vous devez être conscient des diverses fonctionnalités qui ont été dépréciées dans cette version.
- AppScan Enterprise - Mentions légales
- Déclaration de pratiques de sécurité recommandées
Installation
Apprenez à installer le produit.
Mise à niveau et migration
Apprenez à mettre à niveau le produit.
Intégration
Apprenez à intégrer le produit à d'autres solutions.
DevOps
Apprenez à étendre les fonctionnalités du produit en utilisant les API REST et les plug-ins.
Meilleures pratiques
Familiarisez-vous avec les meilleures pratiques d'utilisation du produit.
Configuration
Apprenez à configurer le produit.
Administration
Apprenez à administrer le produit.
Gestion des risques d'application
Suivez ce flux pour gérer les risques de sécurité dans votre organisation.
Traitement des incidents et support
Pour vous aider à comprendre, à isoler et à résoudre les incidents liés à vos logiciels HCL®, les informations de traitement des incidents et de support technique contiennent les instructions à suivre pour utiliser les ressources d'identification des incidents fournies avec les produits HCL.
Référence
Consultez les informations de référence relatives au produit.
Glossaire

OWASP Benchmark avec l'agent IAST

Le projet OWASP Benchmark est une suite de tests Java conçue pour évaluer les outils de détection de vulnérabilités logicielles. L'agent Java HCL AppScan IAST est entièrement conforme au OWASP Benchmark.

Procédure

Pour exécuter OWASP Benchmark avec l'agent AppScan IAST Java :

Cloner BenchmarkJava et BenchmarkUtils à partir dehttps://github.com/OWASP-Benchmark .
Ouvrez une invite de commande, accédez au répertoire BenchmarkUtils et exécutez mvn install -DskipTests .
Dans AppScan Enterprise : démarrez une session IAST Java et téléchargez le fichier zip de l'agent comme décrit dans Téléchargement et déploiement d'un agent IAST Java sur le serveur Web.
Extrayez le contenu du fichier zip .
Dans le JAR extrait, localisez secagent.jar dans le dossier jar_deployment et copiez-le dans BenchmarkJava\tools\HCL .
À partir d'une invite de commande, exécutez runBenchmark_wHCL.bat et attendez quelques instants jusqu'à ce que le message « [INFO] Appuyez sur Ctrl-C pour arrêter le conteneur... » s'affiche.
Ouvrez une autre invite de commande et exécutez BenchmarkJava\runCrawler.bat.
Une fois l'analyse terminée, appuyez sur Ctrl+C pour arrêter l'instance Benchmark Tomcat. À la question « Terminer le travail par lots (O/N) ? » , entrez N .
Exécutez BenchmarkJava\createScorecards.bat

Les résultats des tests peuvent être trouvés dans : Fichiers BenchmarkJava\scorecard\Benchmark_v1.2_Scorecard_for_HCL_AppScan_IAST_v{IAST_version}

Figure : Comparaison des résultats OWASP Benchmark v1.2