La sécurité traite de la protection des ressources importantes. Votre organisation possède des ressources importantes sous forme d'informations, d'éléments de propriété intellectuelle, de plans stratégiques et de données client. La protection de ces informations est critique pour que votre organisation fonctionne, soit compétitive et réponde aux exigences en matière de réglementation.

HCL® AppScan® Enterprise permet aux organisations d'atténuer les risques pour la sécurité des applications, de renforcer les initiatives de gestion des programmes de sécurité d'application et de se mettre en conformité avec les réglementations. Les équipes de sécurité et de développement peuvent collaborer, établir des stratégies et des tests d'échelle tout au long du cycle de vie de l'application. Les tableaux de bord d'Enterprise permettent de classifier et de définir les priorités des ressources d'application en fonction de l'impact métier et d'identifier les zones à haut risque, vous permettant ainsi d'optimiser vos efforts de résolution. Des attributs de performance sont fournis pour vous aider à surveiller la progression des programmes de sécurité de votre application.

En fonction de votre rôle, vous pouvez vous initier à différentes zones du produit.

Cette section décrit les nouvelles fonctionnalités et améliorations du produit AppScan Enterprise dans cette version, ainsi que les dépréciations et les changements prévus, le cas échéant.

AppScan améliore la sécurité des applications en identifiant et en signalant les vulnérabilités des composants tiers, garantissant ainsi la protection des entreprises contre les menaces potentielles. Cela permet de prévenir les vulnérabilités non détectées et assure la continuité des activités.

Vous trouverez ci-après les problèmes connus et les solutions palliatives.

Si vous migrez depuis une édition antérieure d'AppScan® Enterprise, prenez connaissance des diverses fonctions qui sont devenues obsolètes dans cette édition.

La configuration utilisée dépend d'un certain nombre de facteurs : ce que vous comptez faire avec le logiciel, comment sont structurés votre organisation, votre site Web ou vos applications, et comment l'information doit être distribuée. Avant d'installer la version actuelle, vérifiez les informations sur le matériel et les logiciels requis, les licences et les autres considérations de déploiement.

Avant d'installer AppScan® Enterprise, vous devez préparer et configurer votre système.

Cette section fournit les instructions relatives à l'installation d'AppScan® Enterprise.

Après avoir installé AppScan® Enterprise, exécutez les tâches de post-installation ci-après.

Modifications pouvant avoir un impact sur vos examens ou données de rapport lorsque vous procédez à la mise à niveau à partir d'une version précédente. Veillez à lire toutes les rubriques afin de bien comprendre le processus de mise à niveau.

Des groupes de correctifs sont disponibles pour téléchargement depuis FNO.

A partir de la version 9.0.1, AppScan® Enterprise inclut une nouvelle conception de l'architecture qui réduit l'encombrement de l'installation et supprimeRational®Jazz™ Team Server (Jazz Team Server) en tant que composant d'authentification utilisateur.

Pour que les utilisateurs Jazz Team utilisent la méthode d'authentification Liberty, exportez un fichier .csv des utilisateurs par le biais d'une commande avant d'effectuer la mise à niveau vers la version 9.0.1 et des versions supérieures. Vous pouvez ensuite suivre l'une des deux méthodes ci-dessous et enregistrer les mêmes utilisateurs dans Liberty afin qu'ils puissent accéder à AppScan Enterprise version 9.0.1 et versions supérieures.

Pour réussir la mise à niveau vers la version la plus récente d'AppScan Enterprise, lisez cette rubrique attentivement.

La configuration d'AppScan® Enterprise Server requiert des informations sur SQL Server. Configurez d'abord SQL Server pour gagner du temps lors de la configuration d'AppScan. Si vous mettez à niveau SQL Server vers une version plus récente, suivez également ces instructions.

Cette procédure décrit comment utiliser des certificats Liberty pour sécuriser IIS.

Si vous modifiez des paramètres LDAP (comme le nom du serveur ou le nom d'alias) ou si vous déplacez AppScan® Enterprise Server vers un autre ordinateur, vous devez mettre à jour le fichier asc.properties pour refléter ces modifications.

Utilisez cette procédure pour activer FIPS 140-2 sur WebSphere Liberty Profile.

Découvrez comment intégrer le produit aux systèmes d'automatisation de l'assurance qualité.

Découvrez comment intégrer le produit aux systèmes de suivi des incidents.

Apprenez-en plus sur l'API REST dans AppScan Enterprise.

Déterminez les technologies utilisées par l'application que le travail de contenu va examiner et reportez-vous aux meilleures pratiques suivantes pour chaque type.

Exécuter un examen de sécurité dans un environnement de production est risqué ; cependant, il peut s'avérer nécessaire d'exécuter l'examen d'un environnement de production, par exemple pour respecter des exigences d'audit, pour détecter un piratage du site ou pour valider le fait que le processus SDLC (Software Development Life Cycle) est utilisé pour l'intégration des examens de sécurité.

Le moteur d'examen effectue plus de 1000 tests différents et les exécute plusieurs fois.

Cette rubrique traite des questions d'application générales.

Vous pouvez personnaliser plusieurs paramètres selon les besoins.

Enterprise Console est la principale interface utilisateur, qui prend en charge l'administration, la configuration des éléments et la génération de rapports.

Les fichiers journaux générés pendant l'exécution d'un examen sont enregistrés dans le serveur pendant une certaine période. La limite de temps pendant laquelle les fichiers journaux sont conservés par le serveur est appelée la période de conservation du journal. Au bout de cette période de conservation, ces fichiers journaux deviennent obsolètes tout en occupant de manière redondante l'espace mémoire du serveur. Vous pouvez configurer une limite de temps comme période de conservation du journal dans AppScan Enterprise pour supprimer automatiquement ces fichiers journaux une fois la période prédéfinie dépassée.

Découvrez comment gérer les groupes d'utilisateurs et les droits d'accès.

Les administrateurs peuvent configurer les paramètres des fichiers journaux d'Enterprise Console et d'AppScan Server et les télécharger lorsqu'ils doivent traiter les incidents. Grâce à cette fonction, il n'est plus nécessaire d'effectuer une recherche sur le système de fichiers de l'ordinateur sur lequel Enterprise Console ou AppScan Server est installé.

L'outil AdminUtil aide les utilisateurs à éviter de réexécuter l'assistant de configuration sur le serveur AppScan Enterprise et le ou les scanners DAST pour réinitialiser le mot de passe. Vous pouvez exécuter l'utilitaire dans deux modes : le mode interactif et le mode silencieux. Pour plus d'informations sur la réinitialisation du mot de passe du compte de service en mode interactif, voir Réinitialisation du mot de passe du compte de service en AppScan Enterprise via l'outil AdminUtil ASE en mode silencieux.

L'outil AdminUtil AppScan Enterprise (ASE) aide les utilisateurs à éviter de réexécuter l'assistant de configuration sur le serveur AppScan Enterprise, le service de communication IAST, les scanners DAST, le service de base de données et les services d'alerte pour réinitialiser le mot de passe du compte de service. Vous pouvez y parvenir en exécutant l'utilitaire dans deux modes : le mode interactif et le mode silencieux. Pour plus d'informations sur la réinitialisation du mot de passe du compte de service en mode interactif, voir Réinitialisation du mot de passe du compte de service en AppScan Enterprise via l'outil AdminUtil ASE.

Créez un rapport Journal d'activité pour déterminer quels sont les utilisateurs d'AppScan Enterprise et l'usage qu'ils en font. Il indique les utilisateurs qui ont effectué les modifications, ainsi que la date et l'heure de ces dernières. Dans la mesure où ce journal enregistre l'activité en continu, il vous suffit de générer le rapport. Seuls les administrateurs peuvent créer le rapport Journal d'activité ; cependant, tout utilisateur peut être autorisé à y accéder dans les propriétés du groupe de rapports. Si vous ne voulez pas que d'autres utilisateurs puissent consulter le rapport Journal d'activité, donnez à « Tous les autres utilisateurs » la valeur No Access dans la page Utilisateurs et groupes du groupe de rapports.

Le journal d'activité permet de déterminer quels sont les utilisateurs d'AppScan Enterprise et l'usage qu'ils en font. Il indique les utilisateurs qui ont effectué les modifications, ainsi que la date et l'heure de ces dernières. Ceci est utile pour l'audit de sécurité afin de détecter d'éventuelles activités non autorisées ou inhabituelles effectuées par les utilisateurs. Seuls les administrateurs peuvent afficher le journal d'activité. Par défaut, les données du journal d'activité sont conservées pendant un an.

Les administrateurs du produit sont responsables de la gestion des serveurs pour garantir des performances optimales.

Consultez le statut des travaux d'examen en cours d'exécution ou en attente d'exécution afin de déterminer l'ordre dans lequel vos travaux d'examen principaux doivent s'exécuter. Par exemple, des travaux d'examen peuvent faire partie d'un livrable temporel, comme une période de soldes spéciale pour un jour férié. Vous pouvez les déplacer au début de la file d'attente pour qu'ils apparaissent en premier dans le planning.

Les règles de sécurité sont mises à jour dans le cadre de vos éditions AppScan® Enterprise. Vous pouvez vérifier la version et la date d'édition des règles de sécurité en cliquant sur le lien A propos de dans le menu principal d'AppScan Enterprise.

AppScan Standard offre une base de données composée de milliers de tests. Cependant, si votre application Web comporte des problèmes qui lui sont spécifiques, ou si vous souhaitez écrire vos propres conseils pour corriger les problèmes, vous pouvez créer vos propres tests. Ces tests sont sauvegardés et inclus dans votre base de données de tests AppScan. Vous pouvez également les exporter en tant que fichier *.udt pour une importation dans AppScan Enterprise.

La maintenance de la base de données SQL Serveur comprend la mise à niveau des serveurs SQL, la sauvegarde de la base de données SQL, la configuration des fichiers journaux et l'utilisation de la base de données.

Découvrez comment vous préparer aux tests de sécurité dans AppScan Enterprise.

Apprenez à créer des modèles d'examen dans AppScan Enterprise.

Apprenez à créer un inventaire d'applications.

Apprenez à tester les vulnérabilités identifiées dans une application.

Apprenez à déterminer les risques et hiérarchiser les vulnérabilités identifiées dans une application.

Apprenez à éliminer les risques identifiés dans une application.

Apprenez à mesurer la progression et à démontrer la conformité.

Le traitement des incidents est une approche systématique permettant d'apporter une solution à un problème. L'objectif est de déterminer les raisons pour lesquelles une opération ne fonctionne pas comme prévu et d'expliquer la procédure à suivre pour résoudre le problème.

Le support HCL® fournit une assistance pour les défauts de produit, répond aux questions courantes et aide les utilisateurs à résoudre les incidents liés au produit.

Apprenez à traiter les incidents liés à Dynamic Analysis Scanner.

Apprenez à traiter les incidents liés à Enterprise Server.

Ces messages expliquent les codes de maintenabilité pour les messages des produits internes, les messages du journal d'examen et les messages des services Web.

Apprenez-en plus sur les rubriques de l'assistant de configuration.

Apprenez-en plus sur les rubriques de l'explorateur de dossiers.

Les rapports sont générés automatiquement après l'exécution d'un travail. Ils permettent de gérer les problèmes qui sont importants dans votre organisation, avec une méthode prise en charge par le flux de travaux d'Enterprise Console ainsi que par les flux de travaux d'autres processus aux sein de votre organisation.

Collection GitHub d'intégrations, de scripts d'auxiliaire, d'utilitaires, d'exemples utiles, de bibliothèques et d'autres ressources liées à HCL AppScan.