主页
分類及分析
將類似的發現項目分組，可讓安全分析師或 IT 審核員進行原始碼問題的分段及分類。本節說明如何分類 AppScan® Source 評量以及分析結果。
AppScan® Source 追蹤
當使用 AppScan® Source 追蹤時，您可以驗證輸入驗證和編碼是否符合您的軟體安全原則。您可以查看產生輸入/輸出追蹤資料的發現項目，將方法標示為驗證常式和編碼常式、來源或接收槽、回呼，或污染傳播者。
用來追蹤的程式碼範例
本節提供程式碼範例，其中說明從來源到接收槽的污染資料追蹤，以及如何建立驗證和編碼常式。

歡迎使用
歡迎使用 HCL® AppScan® Source 的說明文件。
新增功能
探索這些已新增至 AppScan® Source 的新特性，並指出在這個版本中已淘汰的任何特性與功能。
正在安裝
瞭解如何安裝、升級及啟動 HCL® AppScan® Source 。
配置
瞭解如何在 HCL® AppScan® Source 中配置應用程式、資料夾和專案，以及設定屬性和內容。
管理
瞭解如何在 HCL® AppScan® Source 中管理使用者帳戶和許可權、審核使用者活動，以及管理整合。
正在掃描
本節說明如何掃描原始碼及管理 HCL® AppScan® Source 中的評量。
分類及分析
將類似的發現項目分組，可讓安全分析師或 IT 審核員進行原始碼問題的分段及分類。本節說明如何分類 AppScan® Source 評量以及分析結果。
- 顯示發現項目
  在「發現項目」視圖或任何含有發現項目的視圖中，每次掃描都會顯示一個「發現項目樹狀結構」（評量準則的階層式分組）和「發現項目表格」。您在發現項目樹狀結構中選取的項目，會決定呈現在表格中的發現項目。
- AppScan® Source 分類程序
  分類程序包括透過組合、過濾器及排除項目來操作發現項目，以及比較評量結果。
- 分類範例
  這個範例說明安全分析師所用的 AppScan® Source 分類工作流程。分類工作流程可能會隨著商業需求而不同。
- 利用過濾器分類
  AppScan® Source for Analysis 會報告所有潛在的安全漏洞，對於中型到大型程式碼庫，可能會產生數千個發現項目。掃描時，您可能會看到發現項目清單包含無關緊要的項目。如果要從「發現項目」視圖中移除特定發現項目，您可以選擇預先定義的過濾器，也可以建立自己的過濾器。過濾器用來指定一些準則，以決定要從視圖中移除哪些發現項目。
- 分類及排除項目
  掃描之後，您可能決定某些發現項目與目前的工作無關，在分類掃描結果時，不要它們出現在發現項目表格中。這些排除項目（或已排除的發現項目）不會再出現在「發現項目」視圖中，變更結果會立即更新評量的度量。新增到配置中的過濾器和組合排除項目，只會影響到後續的掃描。
- 使用組合
  組合（發現項目的分組機制）可讓您從 AppScan® Source for Analysis 中，將發現項目的 Snapshot 匯入 AppScan Source for Development 中。將發現項目放入組合之後，您可以利用 AppScan Source for Development 來開啟含有組合的專案、匯入組合，或開啟已儲存的組合檔 (file_name.ozbdl)。
- 使用靜態分析修正程式群組
  修正程式群組是一種新方法，用來管理、分類及解決在靜態分析掃描中發現的問題。執行靜態掃描之後，AppScan® Source 就會根據漏洞類型和必要的補救作業，將問題組織到修正程式群組。
- 修改發現項目
  已修改的發現項目是漏洞類型、分類、嚴重性有了改變，或擁有註釋的發現項目。「已修改的發現項目」視圖會顯示現行應用程式（因開啟其評量而在作用中的應用程式）的這些發現項目。在「我的評量」視圖（只限 AppScan® Source for Analysis）中，已修改直欄會指出發現項目是否在現行評量中有了改變。
- 比較發現項目
  使用「差異評量」動作或 AppScanDelta 公用程式來比較評量。比較兩項評量時，會將兩者之間的差異顯示在「評量差異」視圖或 .ozasmt 檔案中。結果會彙總新的、已修正/遺漏和共用發現項目。
- 自訂發現項目
  如果要加強您的分析結果，您可以建立自訂發現項目。這些是使用者建立的發現項目，AppScan® Source for Analysis 會將它們新增到目前開啟的評量中，或新增到所選的應用程式中。自訂發現項目會影響評量的度量，可以併到報告中。建立好之後，自訂發現項目會自動併入應用程式未來的掃描中。
- 解決安全問題和檢視補救協助
  AppScan® Source 會發出安全錯誤或一般設計缺失的警示，且能夠在解決過程中提供協助。AppScan Source Security Knowledgebase（以及內部或外部的程式碼編輯器）可以在這個過程中提供協助。
- 支援的註釋和屬性
  掃描期間會處理一些用來裝飾程式碼的註釋或屬性。於掃描期間，當程式碼中發現支援的註釋或屬性時，會利用這項資訊，將裝飾的方法標示為污染的回呼。針對標示為污染回呼的方法，會將其所有引數都視為包含受污染的資料。這會產生更多含有追蹤資料的發現項目。這個說明主題中會列出所支援的註釋和屬性。
- AppScan® Source 追蹤
  當使用 AppScan® Source 追蹤時，您可以驗證輸入驗證和編碼是否符合您的軟體安全原則。您可以查看產生輸入/輸出追蹤資料的發現項目，將方法標示為驗證常式和編碼常式、來源或接收槽、回呼，或污染傳播者。
  - AppScan® Source trace掃描結果
    掃描結果可能包括 AppScan® Source trace所識別的追蹤資料。追蹤直欄中的圖示表示有呼叫圖追蹤存在。
  - 輸入/輸出追蹤
    當 AppScan® Source for Analysis 能夠追蹤從已知來源到接收槽或遺失接收槽的資料時，就會產生輸入/輸出追蹤。
  - 使用「追蹤」視圖
  - 驗證和編碼範圍
    在「追蹤」視圖中，您可以指定自訂驗證常式和編碼常式，將它們儲存在 AppScan® Source Security Knowledgebase之後，將資料標示為已檢查而非已污染。當使用「自訂規則精靈」時，您會根據這些常式的範圍來定義它們。
  - 從 AppScan® Source trace建立自訂規則
    您可以從「追蹤」視圖來建立自訂規則，讓您濾除包含污染傳播者、不容易遭受污染或接收槽等追蹤的發現項目。您也可以將追蹤中的方法標記為驗證/編碼常式（或指出它們不是驗證/編碼常式）。
  - 用來追蹤的程式碼範例
    本節提供程式碼範例，其中說明從來源到接收槽的污染資料追蹤，以及如何建立驗證和編碼常式。
    - 範例 1：從來源到接收槽
    - 範例 2：從來源到接收槽（已修改）
      範例 2 是範例 1 程式碼的修改。範例 2 是範例 1 的強化版本，差異是新增名為 getVulnerableSource 的驗證常式，以及名為 writeToVulnerableSink 的編碼常式。
    - 範例 3：不同的來源和接收槽檔案
    - 範例 4：深度驗證
      當掃描範例 4 程式碼時，第一個掃描會包括三項 AppScan® Source traces，其根目錄位在對應的追蹤常式。假設選取 trace1 中的 FileInputStream.read 方法，並新增 validate 常式。跟在範例原始碼後的一節說明驗證常式每個範圍的效果。
產生報告
安全分析師和風險管理員可以存取所選取發現項目的報告，或一系列審核報告，這些審核報告用來測量是否符合軟體安全最佳實務和規章需求。本節說明如何建立發現項目集成資料的報告。
延伸產品功能
瞭解如何延伸產品以符合特定的開發需求。
參照
檢閱 HCL® AppScan® Source 參照資訊，包括使用公用程式、外掛程式及 API。
疑難排解和支援
自助資訊、資源和工具，可讓您在使用 HCL® AppScan® Source 時針對問題進行疑難排解。

用來追蹤的程式碼範例

本節提供程式碼範例，其中說明從來源到接收槽的污染資料追蹤，以及如何建立驗證和編碼常式。