Déploiement d'un agent IAST sur Azure App Service

Utilisez l'agent IAST pour surveiller les applications qui s'exécutent sur Azure App Service.

Déploiement d'un agent IAST .NET Framework sur Azure

Pourquoi et quand exécuter cette tâche

Utilisez le gestionnaire de packages NuGet pour ajouter l'agent IAST à votre application avant de déployer Azure App Services. La procédure ci-dessous s'applique à Visual Studio, mais la procédure est similaire pour toutes les méthodes.

Procédure

  1. Démarrez une session IAST .NET et téléchargez l'agent NuGet comme décrit ici.
  2. Ouvrez Visual Studio et sélectionnez Menu > Outils > Options > Gestionnaire de packages NuGet > Source du package.
  3. Sélectionnez le dossier contenant l'agent IAST NuGet.
  4. Cliquez sur le signe + pour ajouter une nouvelle source NuGet, puis attribuez-lui un nom.
  5. Dans l'explorateur de solutions, cliquez avec le bouton droit de la souris sur le projet que vous souhaitez que l'IAST surveille, puis cliquez sur Gérer les packages NuGet.
  6. Dans le champ Rechercher, saisissez com.HCL.AppScan.IAST.agent et sélectionnez le premier package répertorié dans les résultats.
  7. Cliquez sur Installer.
  8. .NET Core uniquement : Définissez la variable d'environnement en procédant comme suit :
    1. Dans le portail Azure, accédez à Settings > Configuration.
    2. Dans l'onglet Application Settings, cliquez sur le signe + pour ajouter un nouveau paramètre.
    3. Dans la boîte de dialogue Add/Edit application setting de l'application qui s'ouvre, saisissez le nom et la valeur suivants :
      Nom : ASPNETCORE_HOSTINGSTARTUPASSEMBLIES
      Valeur SecagentCore
    4. Cliquez sur OK.
  9. Déployez votre application sur Azure App Services.
    L'agent est désormais installé. Vous pouvez le vérifier en recherchant la ligne de l'agent IAST dans le flux de journal.

    Au fur et à mesure que vous utilisez ou testez votre application (en effectuant des tests fonctionnels, un examen DAST ou en explorant l'application manuellement), l'agent IAST surveille les requêtes au fur et à mesure de leur envoi et signale les problèmes de sécurité qu'il détecte.

Déploiement d'un agent IAST Node.js sur Azure

Procédure

  1. Si vous ne l'avez pas encore fait, créez une application pour vos examens.
  2. Dans la vue Application, cliquez sur Créer un examen pour ouvrir l'assistant, puis sélectionnez Interactif (IAST).
  3. Sélectionnez Node.js et cliquez sur Générer une clé. Cette opération génère une clé unique qui connecte votre application à la session IAST dans ASoC.
  4. Dans votre espace de travail, installez l'agent IAST à partir de npm à l'aide de la commande suivante : 
    npm install --save @hclsoftware/secagent
    @hclsoftware/secagent est ajouté aux dépendances dans le fichier package.json de votre application :
  5. Par défaut, Azure App Services utilise le script de démarrage de votre fichier package.json comme commande d'exécution. Modifiez le script de démarrage pour définir la clé d'agent de l'étape 3 ci-dessus comme variable d'environnement et pour exécuter l'agent IAST de l'étape 4 comme package requis.
    Par exemple, si la commande initiale était :Modifiez-la comme suit :Exemple avec la clé 123456789 :
  6. Déployez votre application sur Azure App Services.
    L'agent est désormais installé. Vous pouvez le vérifier en recherchant la ligne de l'agent IAST dans le flux de journal.

    Au fur et à mesure que vous utilisez ou testez votre application (en effectuant des tests fonctionnels, un examen DAST ou en explorant l'application manuellement), l'agent IAST surveille les requêtes au fur et à mesure de leur envoi et signale les problèmes de sécurité qu'il détecte.