Welcome
Configuration
Vous configurez un examen en choisissant les paramètres qui décrivent le mieux votre application ainsi que le type de test souhaité.
Vues
Authentification multifactorielle (MFA)
Vous pouvez configurer AppScan pour gérer les méthodes d’authentification multifactorielle (MFA) requises lors de la connexion ou de l’exploration automatique, y compris les mots de passe à usage unique (OTP), les questions de sécurité et les défis CAPTCHA.
Questions de sécurité
Les « questions de sécurité » sont une méthode couramment utilisée par les applications et les sites Web pour ajouter une couche de sécurité supplémentaire aux comptes utilisateur. Ces questions sont généralement personnelles et exigent que les utilisateurs fournissent des réponses spécifiques qu'ils sont les seuls à connaître. Cette étape supplémentaire permet de vérifier l'identité de l'utilisateur, en particulier lors de la récupération du mot de passe ou de l'accès à des informations sensibles.

Bienvenue
Bienvenue dans la documentation relative à HCL AppScan Standard, version 10.12.0.
Mise en route
La présente section fournit un court descriptif des fonctions et des procédures de base du produit.
Configuration
Vous configurez un examen en choisissant les paramètres qui décrivent le mieux votre application ainsi que le type de test souhaité.
- Prédéfinitions
  Les prédéfinitions vous donnent les principales vues de configuration requises pour un type d'examen particulier.
- Vues
  - URL de départ et domaines
    Configurez l'URL de départ pour l'examen, ainsi que tous les serveurs et domaines supplémentaires éventuels à inclure.
  - API
    Pour examiner les API Web, définissez votre type d'API, explorez les méthodes et spécifiez les domaines à tester.
  - Chemins et fichiers exclus
    Vous pouvez configurer AppScan pour qu'il ignore certains chemins de l'application ou des types de fichier spécifiques.
  - Opérations en plusieurs étapes
    Enregistrez et gérez les opérations en plusieurs étapes requises pour atteindre des parties spécifiques de l'application qui pourraient sinon être manquées.
  - Grand modèle linguistique (LLM)
    Configurez AppScan pour tester dynamiquement les fonctionnalités de grand modèle linguistique (LLM) dans vos applications pour détecter les risques tels que la divulgation d'informations sensibles, l'injection d'invite, l'exfiltration de données, l'utilisation abusive d'outils et les violations de stratégie de contenu. Ciblez les nœuds finaux de discussion, les pipelines de génération à enrichissement contextuel (RAG) et d'autres composants LLM, puis passez en revue les résultats reproductibles avec un historique des interactions LLM et des conseils de résolution.
  - Gestion de connexion
    Indiquez à AppScan® comment se connecter à votre application.
  - Clé d'API
    AppScan Standard prend en charge l'authentification API pour l'examen des API qui nécessitent une clé API.
  - Authentification multifactorielle (MFA)
    Vous pouvez configurer AppScan pour gérer les méthodes d’authentification multifactorielle (MFA) requises lors de la connexion ou de l’exploration automatique, y compris les mots de passe à usage unique (OTP), les questions de sécurité et les défis CAPTCHA.
    - Mot de passe à usage unique (OTP)
      Certaines applications nécessitent un mot de passe à usage unique (OTP) dans le cadre de leur processus de connexion ou d’exploration automatique. AppScan prend en charge l’authentification basée sur l’OTP ; vous devez configurer l’OTP avant d’enregistrer la séquence de connexion ou d’exploration automatique pour ces sites.
    - CAPTCHA
      Les connexions basées sur CAPTCHA ajoutent une couche supplémentaire de sécurité pour empêcher l’accès automatisé des bots, mais elles ajoutent également de la complexité pour les outils DAST qui doivent s’authentifier avant d’analyser. Lorsqu’un flux de connexion inclut un CAPTCHA basé sur une image ou du texte, ou un défi reCAPTCHA, AppScan fournit des mécanismes permettant d’enregistrer et de rejouer de manière fiable ces flux pendant l’analyse.
    - Questions de sécurité
      Les « questions de sécurité » sont une méthode couramment utilisée par les applications et les sites Web pour ajouter une couche de sécurité supplémentaire aux comptes utilisateur. Ces questions sont généralement personnelles et exigent que les utilisateurs fournissent des réponses spécifiques qu'ils sont les seuls à connaître. Cette étape supplémentaire permet de vérifier l'identité de l'utilisateur, en particulier lors de la récupération du mot de passe ou de l'accès à des informations sensibles.
  - Authentification HTTP
    Ajoutez une authentification de niveau serveur et des certificats côté client, si cela est requis par l'application
  - Autorisation AWS
    Configurez les paramètres AWS.
  - Communication et proxy
    Configurez les paramètres de délai d'attente de communication et de serveur proxy.
  - Paramètres, cookies et en-têtes
    Identifiez les ID session et répertoriez les paramètres à exclure de l'examen.
  - Remplissage automatique de formulaires
    Fournissez à AppScan® des valeurs de paramètre valides pour le remplissage de formulaires dans votre application lors de l'examen.
  - Pages d'erreur
    Améliorez l'identification des pages d'erreur de votre application en ajoutant des chaînes ou des expressions régulières qui permettent à AppScan® de reconnaître vos pages d'erreur dans le contenu de la réponse, dans son chemin d'accès ou dans les deux. Cela garantit qu'AppScan peut reconnaître et traiter efficacement vos pages d'erreur, contribuant ainsi à la précision globale de vos examens de sécurité.
  - Explorer les options
    Définissez la méthode d'exploration (basée sur les actions, basée sur les demandes, ou les deux) qu'AppScan utilisera pour explorer l'application, ainsi que d'autres paramètres d'exploration de base et avancés.
  - Stratégie de test et optimisation
    Définissez la collection de tests qui sera envoyée à l'application pendant le test (la stratégie de test) et choisissez d'appliquer l'optimisation pour des examens plus rapides à certains moments du cycle de vie du produit où vous accordez plus d'importance à la vitesse qu'à la profondeur de l'examen.
  - Définition de l'environnement
    La définition de l'environnement n'est pas essentielle mais permet à AppScan® de ne pas envoyer de tests inappropriés lors de l'examen, ce qui le rend plus rapide et plus efficace. La personnalisation des scores environnementaux CVSS 3.1 améliore la précision de vos résultats d'examen.
  - Options de test
    Options de test supplémentaires.
  - Configuration avancée
    Cette vue donne accès à de nombreux paramètres avancés et ne doit être utilisée que par des utilisateurs AppScan expérimentés, ou lorsque l'équipe de support vous le demande pour résoudre un problème.
  - Scripts personnalisés
    Les scripts personnalisés dynamisent vos examens DAST. Vous pouvez ajouter du JavaScript pour manipuler les requêtes et les réponses HTTP pendant un examen, soit avant l'envoi d'un requête au serveur, soit après la réception d'une réponse.
  - Contrôle d'accès rompu
    Comparez les résultats d'examen exécutés avec différents niveaux de privilèges afin de déterminer si des ressources réservées aux utilisateurs disposant de privilèges sont accessibles aux utilisateurs qui en sont dépourvus. Cette comparaison permet d'identifier des problèmes de contrôle d'accès, en particulier des cas d'escalade de privilèges où des utilisateurs à faible niveau d'autorisation parviennent à accéder à des données ou des fonctions protégées.
  - Vue basée sur le contenu
    Permet de définir une structure logique pour l'arborescence de l'application, pour les cas où une arborescence basée sur une URL ne sera qu'une longue liste sous une ou deux URL. Il n'est pas primordial de procéder ainsi, mais cela facilite l'exploration des résultats.
- Structure des fichiers d'examen
  Explique la structure de base d'un fichier SCAN standard AppScan.
- Modèles d'examen
  Un modèle d'examen est simplement une configuration d'examen sauvegardée de sorte à pouvoir la réutiliser.
- Modification de la configuration pendant un examen
Analyse de résultats intelligente (IFA)
L'analyse de résultats intelligente (IFA) utilise l'intelligence artificielle (IA) et l'apprentissage automatique (ML) pour analyser les données, découvrir les schémas et faire des prévisions, transformant ainsi les données en informations exploitables. L'analyse IFA va au-delà de l'analyse régulière des données en utilisant des méthodes avancées pour trouver des significations plus approfondies et prendre des décisions intelligentes.
Exploration manuelle
L'exploration manuelle vous permet d'explorer des parties spécifiques de l'application en remplissant en même temps les zones et les formulaires. Cela permet de vous assurer que des zones spécifiques du site sont couvertes et qu'AppScan dispose des informations requises pour remplir correctement les formulaires.
Examen
La présente section décrit comment démarrer un examen, ce qui se produit lors de l'examen, comment manipuler manuellement l'étape d'exploration et comment exporter les résultats d'un examen.
Données
La vue Données contient des informations sur la structure du site pendant la phase d'exploration de l'examen.
Incidents
La vue Problèmes permet d'accéder aux résultats d'un examen. Vous pouvez visualiser des résultats à un niveau élevé ou sélectionner des tests ou des objets spécifiques et accéder à plus de détails. Ces détails comprennent des résolutions de problèmes, des demandes/réponses ainsi que les différences entre les variantes de test ayant provoqué des problèmes. Vous pouvez modifier la gravité des problèmes, renvoyer des tests (avec ou sans modifications) et créer des rapports basés sur les problèmes.
Rapports
Outils
La présente section explique comment utiliser les outils supplémentaires fournis avec HCL AppScan Standard.
Intégrations
Cette section décrit les intégrations d'autres applications à AppScan Standard :
Meilleures pratiques
La présente section fournit un certain nombre de valeurs recommandées et des scénarios d'utilisation pour les utilisateurs avancés.
FAQ et traitement des incidents
Interface de ligne de commande
La présente section décrit la syntaxe et les options disponibles avec l'interface de ligne de commande.
Références
Résumés des menus et des barres d'outils, et glossaire

Configuration des questions de sécurité

Les « questions de sécurité » sont une méthode couramment utilisée par les applications et les sites Web pour ajouter une couche de sécurité supplémentaire aux comptes utilisateur. Ces questions sont généralement personnelles et exigent que les utilisateurs fournissent des réponses spécifiques qu'ils sont les seuls à connaître. Cette étape supplémentaire permet de vérifier l'identité de l'utilisateur, en particulier lors de la récupération du mot de passe ou de l'accès à des informations sensibles.

About this task

Si votre application utilise des questions de sécurité pour l'authentification des utilisateurs, il est essentiel de les ajouter ici. Cela permet à AppScan d'identifier et de capturer avec précision les questions de sécurité lors de l'enregistrement de connexion, de la détection en session ou du processus de lecture de connexion.

Pour ajouter des questions de sécurité :

Procedure

Cliquez sur + Ajouter.
Saisissez la question exactement comme elle est définie dans votre application.
Saisissez la réponse exactement comme elle est définie dans votre application.
Définissez éventuellement le paramètre.
Cliquez sur Appliquer.

Note :
Veillez à inclure toutes les questions et réponses de sécurité utilisées par votre application. Le non-respect de cette consigne peut entraîner des complications lors de l'examen, de l'enregistrement des connexions et de l'accès aux informations sensibles à l'aide d'AppScan.
Lorsque vous utilisez cette fonction, il est recommandé d'activer l'indicateur SessionManagement:ShowActionBasedPlayerWindow pour vérifier que les questions sont répondues correctement. Pour activer ce paramètre :
1. Allez dans Outils > Options > Avancé.
2. Repérez SessionManagement:ShowActionBasedPlayerWindow et définissez son paramètre sur Vrai.
3. Effectuez une analyse. Le navigateur s'ouvre pendant l'analyse, et vous pouvez regarder pendant que AppScan explore votre site, y compris les réponses.

Results

Lorsque vous enregistrez la connexion (avec la réponse à la question) ou que vous démarrez l'examen, AppScan identifie les questions de sécurité dans l'application lors de la connexion ou du processus d'examen après une connexion réussie.