Accueil
Extension des fonctionnalités du produit
Apprenez à étendre le produit pour répondre à des exigences de développement spécifiques.
HCL®AppScan® Source for Development (Eclipse Plug-in)
Avec AppScan® Source for Development, vous pouvez travailler dans votre environnement de développement existant et effectuer une analyse de la vulnérabilité en matière de sécurité de vos projets Java et IBM® MobileFirst Platform. L'analyse de sécurité permet de dénicher les vulnérabilités dans le code source et de les éliminer avec l'assistance de rattrapage de AppScan Source Security Knowledgebase.
Examen des espaces de travail, des projets et des fichiers
Vous pouvez examiner un espace de travail, un projet ou un fichier Eclipse. Sont inclus l'examen de Java™ (y compris Android), l'examen des pages JSP (JavaServer Pages) et l'examen des projets IBM® MobileFirst Platform.

Bienvenue
Bienvenue dans la documentation relative à HCL® AppScan® Source.
Nouveautés
Découvrez les nouvelles fonctions qui ont été ajoutées à AppScan® Source et notez les fonctions et fonctionnalités devenues obsolètes dans cette édition.
Installation
Apprenez à installer, mettre à niveau et activer HCL® AppScan® Source.
Configuration
Découvrez comment configurer des applications, des dossiers et des projets, et définir des attributs et des propriétés dans HCL® AppScan® Source.
Administration
Apprenez à administrer les comptes utilisateur et les droits, auditer l'activité des utilisateurs d'audit et à gérer les intégrations dans HCL® AppScan® Source.
Examen
Cette section explique comment examiner votre code source et gérer les évaluations dans HCL® AppScan® Source.
Triage et analyse
Le regroupement de constatations similaires permet aux analystes de la sécurité ou aux auditeurs du service informatique d'effectuer une segmentation et un triage des problèmes affectant le code source. Cette section explique comment procéder au triage des évaluations AppScan® Source et à l'analyse des résultats.
Génération de rapports
Les analystes de la sécurité et les gestionnaires des risques peuvent accéder à des rapports sur des constatations spécifiques ou à une série de rapports d'audit évaluant la conformité avec les pratiques optimales en matière de sécurité et les exigences réglementaires. Cette section décrit comment créer des rapports sur les données de constatations agrégées.
Extension des fonctionnalités du produit
Apprenez à étendre le produit pour répondre à des exigences de développement spécifiques.
- Personnalisation de la base de données des vulnérabilités et des règles de schémas
  Cette section explique comment personnaliser la base de données et intégrer des vulnérabilités personnalisées et d'autres routines dans des examens.
- Extension de l'infrastructure d'importation de serveur d'applications
  AppScan® Source vous permet d'importer des applications Java™ depuis Apache Tomcat et le profil Liberty WebSphere® Application Server. Vous pouvez importer des applications Java à partir d'autres serveurs d'applications en étendant l'infrastructure d'importation de serveurs d'applications, comme expliqué dans cette rubrique.
- HCL®AppScan® Source for Development (Eclipse Plug-in)
  Avec AppScan® Source for Development, vous pouvez travailler dans votre environnement de développement existant et effectuer une analyse de la vulnérabilité en matière de sécurité de vos projets Java et IBM® MobileFirst Platform. L'analyse de sécurité permet de dénicher les vulnérabilités dans le code source et de les éliminer avec l'assistance de rattrapage de AppScan Source Security Knowledgebase.
  - HCL® MobileFirst Platform Application Scanning
    AppScan® Source for Development est également fourni comme MobileFirst Platform Application Scanning. Avec MobileFirst Platform Application Scanning, vous pouvez travailler dans votre environnement de travail existant et effectuer une analyse de vulnérabilité de sécurité dans des projets IBM® MobileFirst Platform. L'analyse de sécurité permet de dénicher les vulnérabilités dans le code source et de les éliminer avec l'assistance de rattrapage de AppScan Source Security Knowledgebase.
  - Glossaire
  - AppScan® Source for Development en server mode et en local mode
    Les plug-in AppScan® Source for Development peuvent être utilisés avec ou sans serveur AppScan Enterprise Server. En server mode, vous vous connectez au serveur pour exécuter des examens et accéder aux données partagées, comme dans les versions précédentes du produit. Dans le nouveau local mode, AppScan Source for Development s'exécute sans se connecter à un serveur AppScan Enterprise Server et vous ne pouvez pas accéder aux éléments partagés tels que les filtres, les examens de configuration et les règles personnalisées.
  - Création de variables
    Pour ouvrir une évaluation ou un groupement créé précédemment dans AppScan® Source for Analysis qui s'appuie sur une variable de chemin, vous devez créer une variable correspondante dans votre environnement de développement. La création d'une variable garantit la disponibilité des données sur plusieurs ordinateurs. Pour partager des données d'évaluation, vous devez définir les variables appropriées.
  - Configuration des examens
    Selon le type de projet que vous examinez et le type d'examen que vous souhaitez réaliser, vous devrez peut-être configurer votre examen avant de l'exécuter. Par exemple, il est possible de configurer des projets pour utiliser un autre compilateur JDK ou JSP que ceux définis par défaut.
  - Préférences générales
    Les préférences générales vous permettent d'adapter certains paramètres par défaut de AppScan® Source for Development en fonction de vos préférences personnelles.
  - Préférences générales
    Les préférences générales vous permettent d'adapter certains paramètres par défaut de AppScan® Source for Development en fonction de vos préférences personnelles.
  - Examen des espaces de travail, des projets et des fichiers
    Vous pouvez examiner un espace de travail, un projet ou un fichier Eclipse. Sont inclus l'examen de Java™ (y compris Android), l'examen des pages JSP (JavaServer Pages) et l'examen des projets IBM® MobileFirst Platform.
    - Considérations de l'examen
      Cette rubrique décrit les restrictions et les considérations susceptibles d'affecter vos examens.
    - Examen d'un projet MobileFirst Platform
      Les projets MobileFirst Platform sont analysés de la même façon que d'autres types de projet ; toutefois, vous devez prendre en compte certains points, Cette rubrique d'aide décrit ces considérations.
    - Configurations d'examen
      Des configurations d'examen sont utilisées au moment de lancer des examens et peuvent parfois donner lieu à de meilleurs résultats de l'examen. AppScan® Source comprend des configurations d'examen intégrées, accessibles en mode server mode ou local mode. De plus, des configurations d'examen personnalisées peuvent être créées dans AppScan Source for Analysis et partagées sur le AppScan Enterprise Server. Elles sont accessibles depuis AppScan Source for Development en server mode.
    - Annulation ou arrêt d'un examen
      Bien qu'il soit possible d'annuler un examen en cours, cette opération provoque la perte de toutes les données de l'examen. Vous pouvez également arrêter un examen afin de l'interrompre et de produire une évaluation à l'aide des résultats obtenus jusqu'ici.
  - Ouverture et sauvegarde d'évaluations
    AppScan® Source examine le code source pour détecter des vulnérabilités et génère des constatations. Ces constatations sont les vulnérabilités détectées au cours d'un examen et le résultat d'un examen constitue une évaluation. Vous pouvez ouvrir une évaluation sauvegardée à partir d'AppScan Source for Development ou AppScan Source for Analysis. Après votre examen, vous pouvez sauvegarder l'évaluation sur un fichier. Ensuite, vous pouvez rouvrir l'évaluation à tout moment. Les évaluations sont sauvegardées sous la forme filename.ozasmt.
  - Personnalisation du tableau de constatations
    Vous pouvez personnaliser les tables de constatations dans toutes les vues comportant des constatations (hormis la vue Différences entre les évaluations dans AppScan® Source for Analysis) en identifiant les seules colonnes et l'ordre dans lequel vous désirez les afficher. Chaque vue peut avoir des paramètres distincts ou vous pouvez appliquer vos options à toutes les vues. Pour personnaliser l'ordre des colonnes, suivez les procédures de cette rubrique de tâche.
  - Sauvegarde de constatations sélectionnées dans une évaluation
  - Recherche de constatations
    Vous pouvez rechercher des constatations spécifiques dans plusieurs vues contenant des constatations. Les critères de recherche incluent les groupements, le code, les fichiers, les projets et les types de vulnérabilité. Les résultats figurent dans la vue Résultats de la recherche.
  - Modification de constatations
    Les constatations modifiées sont celles dont le type de vulnérabilité, la classification ou la gravité a été modifié ou auxquelles des annotations ont été ajoutées. La vue Constatations modifiées affiche ces constatations pour l'application en cours (l'application active après qu'une évaluation a été ouverte pour cette application). Dans la vue Mes évaluations (disponible uniquement dans AppScan® Source for Analysis), la colonne Modifié indique si une constatation a été modifiée dans l'évaluation en cours.
  - Résolution des problèmes de sécurité et affichage de l'aide à la résolution
    AppScan® Source vous alerte en cas d'erreurs ou de failles de conception courantes de la sécurité et vous assiste dans leur processus de résolution. La AppScan Source Security Knowledgebase et les éditeurs de code internes ou externes vous aident au cours de ce processus.
  - Triage avec exclusions
    Après un examen, vous pouvez décider que certaines constatations ne sont pas pertinentes pour votre travail actuel et que vous ne désirez pas qu'elles soient visibles dans le tableau des constatations lors du triage de ces résultats. Ces exclusions (ou constatations exclues) n'apparaissent plus dans la vue Constatations et les métriques des évaluations sont immédiatement actualisées avec les résultats modifiés. Le filtrage et les exclusions de groupements ajoutés à une configuration ne prennent effet que lors des examens ultérieurs.
  - Création et gestion de filtres
    AppScan® Source propose plusieurs méthodes pour la création et l'utilisation des filtres. L'éditeur de filtre, la vue principale pour la création de filtres, propose un ensemble de règles robustes pouvant être définies manuellement, puis enregistrées dans un filtre. Il fournit également un mécanisme afin de gérer les filtres que vous avez créés, en vous permettant de les modifier ou de les supprimer aisément. Vous pouvez également filtrer le tableau des constatations depuis les vues présentant des représentations graphiques de celles-ci, puis enregistrer ces filtres depuis la vue Editeur de filtre. Lorsque vous créez un filtre, les autres vues sont actualisées en reflétant les propriétés du filtre.
  - Annotations et attributs pris en charge
    Certains attributs ou annotations utilisés pour enrichir le code sont traités lors des examens. Lorsqu'une annotation ou un attribut pris en charge est détecté lors d'un examen, ces informations sont utilisées pour marquer la méthode enrichie en tant que rappel entaché. Une méthode marquée comme rappel entaché est traitée si tous ses arguments comportent des données entachées. Ceci débouche sur un plus grand nombre de constatations accompagnées de traces. Les annotations et attributs pris en charge sont répertoriés dans cette rubrique d'aide.
  - Utilisation de groupements
    Un groupement (mécanisme d'agrégation de constatations) vous permet d'importer un instantané de constatations depuis AppScan® Source for Analysis vers AppScan Source for Development. Une fois que les constatations se trouvent dans des groupements, vous pouvez utiliser AppScan Source for Development pour ouvrir le projet qui contient le groupement, importer le groupement ou ouvrir un fichier de groupement sauvegardé (file_name.ozbdl).
  - Trace AppScan® Source
    La trace AppScan® Source permet de vérifier que la validation et le codage des entrées répondent à vos règles de sécurité logicielle. Elle permet d'examiner les constatations qui génèrent des traces d'entrée/sortie et de marquer des méthodes en tant que routines de validation et codage, sources ou collecteurs, rétro-appels ou propagateurs de taches.
  - Vues et fenêtres
    Les vues et fenêtres de AppScan® Source for Development fournissent des présentations alternatives des constatations, permettent l'édition du code et la navigation entre les informations dans votre plan de travail. Une vue peut figurer seule ou être juxtaposée à d'autres dans un bloc-notes à onglets. Vous pouvez modifier l'agencement d'une perspective ou d'une fenêtre en ouvrant et en fermant des vues, et en les ancrant dans des positions différentes dans la fenêtre du plan de travail.
  - Emplacements des fichiers de données utilisateur et des fichiers d'installation
    Lorsque vous installez AppScan® Source, les fichiers de données utilisateur et de configuration sont stockés hors du répertoire d'installation.
  - Prise en charge de CWE
    La liste CWE (Common Weakness Enumeration) est une liste de normes de l'industrie fournissant des noms usuels pour les faiblesses logicielles publiquement connues. Cette rubrique répertorie les ID CWE pris en charge dans la version actuelle de AppScan® Source.
  - Analyse de résultats intelligente (IFA)
    Découvrez l'auto-triage et l'analyse des constatations depuis AppScan® Source.
Référence
Consultez les informations de référence pour HCL® AppScan® Source, y compris l'utilisation d'utilitaires, de plug-ins et d'API.
Traitement des incidents et support
Informations, ressources et outils d'auto-assistance pour vous aider à résoudre les problèmes lors de l'utilisation de HCL® AppScan® Source.

Examen des espaces de travail, des projets et des fichiers

Vous pouvez examiner un espace de travail, un projet ou un fichier Eclipse. Sont inclus l'examen de Java™ (y compris Android), l'examen des pages JSP (JavaServer Pages) et l'examen des projets IBM® MobileFirst Platform.

Avant de commencer

Voir Considérations de l'examen pour plus de détails sur les considérations spécifiques à un système d'exploitation, les considérations spécifiques à une langue ou d'autres restrictions qui peuvent affecter vos examens.

Remarque : Si vous examinez un projet IBM® MobileFirst Platform, voir Examen d'un projet MobileFirst Platform.

Remarque : A compter de la version 9.0.3.11, AppScan® Source ne prend plus en charge l'examen de projets macOS ou iOS.

Pourquoi et quand exécuter cette tâche

Lorsque vous sélectionnez une action d'examen, la configuration d'examen qui a été sélectionnée dans la boîte de dialogue Configuration des examens va être appliquée. Pour des informations sur les configurations d'examen, voir Configurations d'examen.

Cliquez sur l'application à l'aide du bouton droit de la souris dans l'explorateur de packages et sélectionnez Exécuter l'examen à partir du menu ou procédez comme suit :

Cliquez sur le projet à l'aide du bouton droit de la souris dans l'Explorateur de solutions et sélectionnez Examiner le projet à partir du menu ou procédez comme suit :

Procédure

Importez ou créez un espace de travail, une solution, un projet ou un fichier.
Choisissez l'une des options suivantes dans le menu principal :
- Analyse de sécurité > Examiner > Espace de travail d'examen
- Analyse de sécurité > Examiner > Examiner le projet
- Analyse de sécurité > Examiner > Examiner le fichier
- HCL AppScan Source > Examiner > Examiner une solution
- HCL AppScan Source > Examiner > Examiner un projet
- HCL AppScan Source > Examiner > Examiner un fichier
L'examen commence et des messages s'affichent dans la vue ConsoleFenêtre Sortie.

Résultats

Si vous êtes connecté au serveur AppScan® Enterprise Server et que vous examinez une application pour laquelle des règles personnalisées ont été créées dans AppScan® Source for Analysis, l'examen inclut ces règles personnalisées.