Welcome
Triage et analyse
Le regroupement de constatations similaires permet aux analystes de la sécurité et aux auditeurs du service informatique d'effectuer une segmentation et un triage des problèmes affectant le code source. Cette section explique comment procéder au triage des évaluations AppScan® Source et à l'analyse des résultats.
Trace AppScan® Source
La trace AppScan® Source permet de vérifier que la validation et le codage des entrées répondent à vos règles de sécurité logicielle. Elle permet d'examiner les constatations qui génèrent des traces d'entrée/sortie et de marquer des méthodes en tant que routines de validation et codage, sources ou collecteurs, rétro-appels ou propagateurs de taches.
Portée de la validation et du codage
Depuis la vue Trace, vous pouvez spécifier des routines de validation et de codage personnalisées qui, une fois stockées dans la Base de connaissances de sécurité AppScan® Source, marquent les données comme étant vérifiées plutôt qu'entachées. A l'aide de l'assistant Règles personnalisées, vous devez définir ces routines en fonction de leur portée.

Bienvenue
Bienvenue dans la documentation relative à HCL® AppScan® Source.
Nouveautés
Découvrez les nouvelles fonctions qui ont été ajoutées à AppScan® Source et notez les fonctions et fonctionnalités devenues obsolètes dans cette version.
Installation
Apprenez à installer, mettre à niveau et activer HCL® AppScan® Source.
Configuration
Découvrez comment configurer des applications, des dossiers et des projets, et définir des attributs et des propriétés dans HCL® AppScan® Source.
Administration
Apprenez à administrer les comptes utilisateur et les droits, auditer l'activité des utilisateurs d'audit et à gérer les intégrations dans HCL® AppScan® Source.
Examen
Cette section explique comment examiner votre code source et gérer les évaluations dans HCL® AppScan® Source.
Triage et analyse
Le regroupement de constatations similaires permet aux analystes de la sécurité et aux auditeurs du service informatique d'effectuer une segmentation et un triage des problèmes affectant le code source. Cette section explique comment procéder au triage des évaluations AppScan® Source et à l'analyse des résultats.
- Affichage des constatations
  La vue Constatations, ou toute vue contenant des constatations, affiche leur arborescence (regroupement hiérarchique des critères d'évaluation) et un tableau des constatations pour chaque examen. L'élément sélectionné dans l'arborescence des constatations détermine les constatations présentées dans le tableau.
- Processus de triage AppScan® Source
  Le processus de triage désigne la manipulation des constatations via des groupements, des filtres et des exclusions et la comparaison des résultats des évaluations.
- Exemple de triage
  Cet exemple décrit un flux de travaux de triage AppScan® Source utilisé par un analyste de la sécurité. Le flux de travail de triage peut varier en fonction des besoins de votre activité.
- Triage avec des filtres
  AppScan® Source for Analysis rend compte de toutes les vulnérabilités de sécurité potentielles et peut donc générer des milliers de constatations pour une base de code de moyenne/grande envergure. Lors de l'examen, vous pouvez conclure que la liste des constatations contient des éléments sans importance dans votre cas. Pour éliminer certains éléments de la vue Constatations, vous pouvez choisir un filtre prédéfini ou créer votre propre filtre. Un filtre spécifie les critères qui déterminent les constatations à supprimer de la vue.
- Triage avec exclusions
  Après un examen, vous pouvez décider que certaines constatations ne sont pas pertinentes pour votre travail actuel et que vous ne désirez pas qu'elles soient visibles dans le tableau des constatations lors du triage de ces résultats. Ces exclusions (ou constatations exclues) n'apparaissent plus dans la vue Constatations et les métriques des évaluations sont immédiatement actualisées avec les résultats modifiés. Le filtrage et les exclusions de groupements ajoutés à une configuration ne prennent effet que lors des examens ultérieurs.
- Utilisation de groupements
  Un groupement (mécanisme d'agrégation de constatations) vous permet d'importer un instantané de constatations depuis AppScan® Source for Analysis vers AppScan Source for Development. Une fois que les constatations se trouvent dans des groupements, vous pouvez utiliser AppScan Source for Development pour ouvrir le projet qui contient le groupement, importer le groupement ou ouvrir un fichier de groupement sauvegardé (file_name.ozbdl).
- Utilisation de groupes de correctifs de l'analyse statique
  Les groupes de correctifs sont une nouvelle approche de la gestion, du triage et de la résolution de problèmes détectés dans l'analyse statique. Après l'exécution d'un examen statique, AppScan® Source organise les problèmes détectés en groupes de correctifs, en fonction du type de vulnérabilité et de la tâche de résolution requise.
- Modification de constatations
  Les constatations modifiées sont celles dont le type de vulnérabilité, la classification ou la gravité a été modifié ou auxquelles des annotations ont été ajoutées. La vue Constatations modifiées affiche ces constatations pour l'application en cours (l'application active après qu'une évaluation a été ouverte pour cette application). Dans la vue Mes évaluations (disponible uniquement dans AppScan® Source for Analysis), la colonne Modifié indique si une constatation a été modifiée dans l'évaluation en cours.
- Comparaison des constatations
  Utilisez l'action Evaluations de différences ou l'utilitaire AppScanDelta pour comparer les évaluations. Lorsque deux évaluations sont comparées, leurs différences s'affichent dans la vue Différences entre les évaluations ou dans un fichier .ozasmt. Les résultats contiennent les constatations nouvelles, corrigées/manquantes et communes.
- Constatations personnalisées
  Pour étoffer vos résultats d'analyse, vous pouvez créer des constatations personnalisées. Il s'agit de constatations créées par l'utilisateur que AppScan® Source for Analysis ajoute à l'évaluation ouverte actuellement ou à l'application sélectionnée. Les constatations personnalisées affectent les métriques d'évaluations et peuvent être incluses dans des rapports. Une fois créée, une constatation personnalisée est incluse automatiquement dans les examens ultérieurs de l'application.
- Résolution des problèmes de sécurité et affichage de l'aide à la résolution
  AppScan® Source vous alerte en cas d'erreurs ou de failles de conception courantes de la sécurité et vous assiste dans leur processus de résolution. La Base de connaissances de sécurité AppScan Source et les éditeurs de code internes ou externes vous aident au cours de ce processus.
- Annotations et attributs pris en charge
  Certains attributs ou annotations utilisés pour enrichir le code sont traités lors des examens. Lorsqu'une annotation ou un attribut pris en charge est détecté lors d'un examen, ces informations sont utilisées pour marquer la méthode enrichie en tant que rappel entaché. Une méthode marquée comme rappel entaché est traitée si tous ses arguments comportent des données entachées. Ceci débouche sur un plus grand nombre de constatations accompagnées de traces. Les annotations et attributs pris en charge sont répertoriés dans cette rubrique d'aide.
- Trace AppScan® Source
  La trace AppScan® Source permet de vérifier que la validation et le codage des entrées répondent à vos règles de sécurité logicielle. Elle permet d'examiner les constatations qui génèrent des traces d'entrée/sortie et de marquer des méthodes en tant que routines de validation et codage, sources ou collecteurs, rétro-appels ou propagateurs de taches.
  - Résultats d'examen de la Trace AppScan® Source
    Les résultats de l'examen peuvent inclure des traces identifiées par une Trace AppScan® Source. L'icône dans la colonne Trace indique l'existence d'une trace du graphe d'appels.
  - traçage des entrées/sorties
    Une trace des entrées/sorties est générée lorsque AppScan® Source for Analysis peut suivre le cheminement des données depuis une source connue vers un collecteur ou un collecteur indéterminé.
  - Utilisation de la vue Trace
  - Portée de la validation et du codage
    Depuis la vue Trace, vous pouvez spécifier des routines de validation et de codage personnalisées qui, une fois stockées dans la Base de connaissances de sécurité AppScan® Source, marquent les données comme étant vérifiées plutôt qu'entachées. A l'aide de l'assistant Règles personnalisées, vous devez définir ces routines en fonction de leur portée.
  - Création de règles personnalisées depuis une Trace AppScan® Source
    Vous pouvez créer depuis la vue Trace des règles personnalisées qui vous permettent de filtrer les constatations comportant des traces qui sont des propagateurs de tâche, non vulnérables aux tâches ou des collecteurs. Vous pouvez également marquer les méthodes dans la trace comme des routines de validation/codage (ou indiquer qu'il ne s'agit pas de routines de validation/codage).
  - Exemples de code pour le traçage
    Cette section fournit des exemples de code qui illustrent le suivi de trace des données entachées depuis une source vers un collecteur et décrivent la création d'une routine de validation et de codage.
Génération de rapport
Les analystes de la sécurité et les gestionnaires des risques peuvent accéder à des rapports sur des constatations spécifiques ou à une série de rapports d'audit évaluant la conformité avec les pratiques optimales en matière de sécurité et les exigences réglementaires. Cette section décrit comment créer des rapports sur les données de constatations agrégées.
Extension des fonctionnalités du produit
Apprenez à étendre le produit pour répondre à des exigences de développement spécifiques.
Référence
Consultez les informations de référence pour HCL® AppScan® Source, y compris l'utilisation d'utilitaires, de plug-ins et d'API.
Traitement des incidents et support
Informations, ressources et outils d'auto-assistance pour vous aider à résoudre les problèmes lors de l'utilisation de HCL® AppScan® Source.

Portée de la validation et du codage

Depuis la vue Trace, vous pouvez spécifier des routines de validation et de codage personnalisées qui, une fois stockées dans la Base de connaissances de sécurité AppScan® Source, marquent les données comme étant vérifiées plutôt qu'entachées. A l'aide de l'assistant Règles personnalisées, vous devez définir ces routines en fonction de leur portée.

Reportez-vous à la rubrique Exemple 4 : validation approfondie pour la procédure de création de routines de validation et de codage.

Les routines de validation ou de codage sont basées sur leur portée et sont définies comme :

spécifique à une API
Spécifique à un site d'appel

spécifique à une API

Les routines de validation et de codage spécifiques à des API peuvent être associées à un projet unique ou à plusieurs projets.

Les routines spécifiques à une API désentachent les données provenant de toutes les instances d'une API source spécifique. Vous pourriez, par exemple, spécifier une routine de validation pour toutes les entrées de l'API :

javax.servlet.ServletRequest.getParameter
(java.lang.string):java.lang.string

Les routines spécifiques à une API sont stockées sur le serveur. Les routines spécifiques aux API d'un projet sont stockées dans le projet.

Spécifique à un site d'appel

Les routines spécifiques à un site d'appel sont toujours associées à un seul projet.

Les routines spécifiques à un site d'appel désentachent les données provenant d'un emplacement spécifique dans le code. Lorsque vous créez une routine de validation ou de codage spécifique à un site d'appel, vous spécifiez qu'elle s'applique à un site d'appel donné. Les routines spécifiques à un site d'appel sont toujours stockées dans le projet.

Remarque : Les routines spécifiques à un site d'appel s'appliquent à tous les appels de la routine de validation dans la même méthode.