Accueil
Outils
La présente section explique comment utiliser les outils supplémentaires fournis avec HCL AppScan Standard.
PowerTools
AppScan offre un accès à cinq utilitaires (PowerTools), chacun fournissant une fonction spécifique vous aidant à gérer la sécurité de votre application ou à utiliser AppScan.
Authentication Tester
Le PowerTool Authentication Tester est un utilitaire de test ayant recours à la technique dite de "force brute", qui révèle les combinaisons faibles nom d'utilisateur-mot de passe susceptibles d'être exploitées pour accéder à votre application Web. (Une attaque par force brute est un processus automatique par essai et erreur qui permet de deviner les données d'authentification. Elle peut amener un serveur à reconnaître un imposteur comme un utilisateur légitime.)
Authentification de formulaire
Fourniture d'une connexion typique

Bienvenue
Bienvenue dans la documentation relative à HCL AppScan Standard, version 10.3.0.
Mise en route
La présente section fournit un court descriptif des fonctions et des procédures de base du produit.
Configuration
Vous configurez un examen en choisissant les paramètres qui décrivent le mieux votre application ainsi que le type de test souhaité.
Exploration manuelle
L'exploration manuelle vous permet d'explorer des parties spécifiques de l'application en remplissant en même temps les zones et les formulaires. Cela permet de vous assurer que des zones spécifiques du site sont couvertes et qu'AppScan dispose des informations requises pour remplir correctement les formulaires.
Examen
La présente section décrit comment démarrer un examen, ce qui se produit lors de l'examen, comment manipuler manuellement l'étape d'exploration et comment exporter les résultats d'un examen.
Données
La vue Données contient des informations sur la structure du site pendant la phase d'exploration de l'examen.
Incidents
La vue Problèmes permet d'accéder aux résultats d'un examen. Vous pouvez visualiser des résultats à un niveau élevé ou sélectionner des tests ou des objets spécifiques et accéder à plus de détails. Ces détails comprennent des résolutions de problèmes, des demandes/réponses ainsi que les différences entre les variantes de test ayant provoqué des problèmes. Vous pouvez modifier la gravité des problèmes, renvoyer des tests (avec ou sans modifications) et créer des rapports basés sur les problèmes.
Rapports
La présente section explique comment générer des rapports à partir des résultats de l'examen.
Outils
La présente section explique comment utiliser les outils supplémentaires fournis avec HCL AppScan Standard.
- Boîte de dialogue Options
  Cette section décrit les options que vous pouvez contrôler, pour personnaliser AppScan, à partir de la boîte de dialogue Options dans Outils > Options.
- Extension Assistant d'API Web
  Cette extension vous permet de numériser à l'aide des fichiers de description Open API. Elle est disponible dans Outils > Extensions > Assistant Services Web (Open API), et l'extension est activée par défaut.
- Planificateur d'examens
- Tests définis par l'utilisateur
- PowerTools
  AppScan offre un accès à cinq utilitaires (PowerTools), chacun fournissant une fonction spécifique vous aidant à gérer la sécurité de votre application ou à utiliser AppScan.
  - Authentication Tester
    Le PowerTool Authentication Tester est un utilitaire de test ayant recours à la technique dite de "force brute", qui révèle les combinaisons faibles nom d'utilisateur-mot de passe susceptibles d'être exploitées pour accéder à votre application Web. (Une attaque par force brute est un processus automatique par essai et erreur qui permet de deviner les données d'authentification. Elle peut amener un serveur à reconnaître un imposteur comme un utilisateur légitime.)
  - Test de connexion
    L'outil Test de connexion PowerTool permet de lancer une commande ping sur les sites Web sans l'aide du protocole ping, qui est bloqué par de nombreux pare-feu.
  - Coder/Décoder
    L'outil Coder/Décoder PowerTool permet de coder et décoder des chaînes que vous avez intégrées, depuis et vers le format de votre choix.
  - Expression Test
    L'écriture précise d'expressions régulières peut être un processus de tâtonnement fastidieux. L'outil Expression Test PowerTool permet d'accélérer le processus.
  - HTTP Request Editor
    L'outil HTTP Request Editor PowerTool permet d'envoyer une requête HTTP entièrement contrôlée vers votre site, et ainsi de tester la manière dont le site répond à différents types de requête HTTP.
- Personnaliser le menu Outils
- Extensions
- Journaux
  Les journaux peuvent vous aider à traiter les incidents.
- Recherche de résultats
  Vous pouvez filtrer la liste des résultats à partir de n'importe quelle vue à la recherche de données spécifiques.
Intégrations
Cette section décrit les intégrations d'autres applications à AppScan Standard :
Meilleures pratiques
La présente section fournit un certain nombre de valeurs recommandées et des scénarios d'utilisation pour les utilisateurs avancés.
FAQ et traitement des incidents
Interface de ligne de commande
La présente section décrit la syntaxe et les options disponibles avec l'interface de ligne de commande.
Références
Résumés des menus et des barres d'outils, et glossaire

Fourniture d'une connexion typique

Pourquoi et quand exécuter cette tâche

Si vous sélectionnez Authentification de formulaire dans la section Méthode d'authentification de la fenêtre principale, le bouton Configurer s'affiche. Il permet de configurer Authentication Tester avec la procédure de connexion correcte.

Procédure

Cliquez sur Configurer.

Le navigateur d'Authentication Tester s'ouvre.
Accédez à la page de connexion de votre application Web.
Exécutez la procédure de connexion en utilisant les données d'identification suivantes (vous pouvez les copier-coller depuis la partie supérieure de la fenêtre du navigateur) :

nom d'utilisateur :

BruteUsername

mot de passe :

BrutePassword

Authentication Tester exige de modéliser la procédure de connexion au site avec ces valeurs. Pendant la phase de test, ces chaînes seront remplacées par des combinaisons possibles de nom d'utilisateur et de mot de passe lorsqu'Authentication Tester tente d'accéder au site par force brute. Lorsque vous avez terminé la procédure de connexion, Authentication Tester ne tente pas réellement de se connecter avec ces données d'identification, mais se contente d'examiner la demande de connexion.
ATTENTION : Si les chaînes "BruteUsername" et "BrutePassword" ne sot pas autorisées par votre vérification côté client, aucune demande de connexion ne sera créée pour Authentication Tester. Dans ce cas, vous devez modifier les valeurs des marques de réservation des chaînes du nom d'utilisateur et du mot de passe. Voir Onglet Authentification de formulaire.
Lorsque vous avez terminé la procédure de connexion, Authentication Tester "capture" la demande de connexion, et un message de confirmation s'affiche.
Dans le message de confirmation, cliquez sur OK

Le navigateur se ferme et la fenêtre Détection de connexion réussie s'ouvre. Cela permet de décrire les réponses de connexion. Voir Description des réponses de connexion de l'application