分類及分析

將類似的發現項目分組，可讓安全分析師或 IT 審核員進行原始碼問題的分段及分類。本節說明如何分類 AppScan® 源 評量以及分析結果。

當掃描程式碼時，將會出現掃描結果或發現項目。分類是指評估發現項目，以及判斷如何解決它們的程序。不過，達到這個目標所需要的步驟會隨著多種因素而不同，其中包括發現項目的總數、特定安全考量、應用程式風險評量，等等。除了決定某發現項目是否代表有效的安全問題之外，分類也包含適時修改發現項目的屬性（嚴重性、類型、分類）。

分類策略很重要，可確保您能夠依照所需要的次序和時段來完成您的目標。分類最好是以反覆運算的方式來完成，以便在各次反覆運算中，評估發現項目的子集以及判斷各子集的處置方式。您可以用許多有效的方式，來決定分類反覆運算的定義方式。其中一個方式是根據整體嚴重性，來建立高風險發現項目的子集。您可以先解決可能帶來最大風險的發現項目，再解決風險較小的發現項目。另一個方式是依「SQL 注入」或「需要驗證」等安全考量來定義子集。

一般而言，分類是由安全分析師或 IT 審核員來執行。分析師或審核員可以先將程式碼需要變更的發現項目提交給問題追蹤系統，再提交給開發人員進行補救。有時開發人員也會進行分類及解決問題。

在分類階段期間，您可以：

• 檢閱特別令人關注之漏洞類型的發現項目
• 檢視特定種類中的 API
• 比較不同評量中的發現項目
• 過濾或排除特定的發現項目
• 變更發現項目的嚴重性或漏洞類型
• 將可疑和掃描涵蓋面發現項目升級為明確的發現項目
• 標註發現項目
• 將問題報告提交問題追蹤系統，或以電子郵件將發現項目傳送給他人。

AppScan® 源 提供所有必要的工具，讓您使用各種不同的分類策略來分析結果。過濾可讓您只檢視特定的分類反覆運算中所要處理的發現項目。如果您的反覆策略是依嚴重性和分類來進行，您可以過濾「漏洞矩陣」視圖中的發現項目。如果您的反覆策略是依「漏洞類型」來進行，您可以過濾「評量摘要」視圖。 AppScan® Source for Analysis 也提供支援複雜反覆運算方式的過濾器編輯器。

選取分類方式之後，AppScan® Source for Analysis 可支援對發現項目進行處置。

• 排除個別發現項目或發現項目的集合
• 修改發現項目詳細資料（類型、嚴重性、分類）
• 建立組合（發現項目的分組機制）
• 利用「評量差異」視圖來比較評量