靜態分析發現項目和動態分析問題之間的差異

瞭解發現項目和問題之間的差異,讓報告更具意義。

瞭解報告中如何顯示動態分析問題

動態安全問題報告包含邏輯問題。每一個邏輯問題可能有一或多個其中被識別有問題的變式(變異或些微不同的方式)。

以特定的 HTTP 要求為例,該要求中執行了若干變動,並且傳回給 Web 伺服器。除了傳送的內容之外,這些測試有很多是相同的。在某些情況下,它可能是單引號;在其他情況下,可能是方括弧等。如果這些測試是正面的,則其主要原因很有可能相同,並且分組在某一個問題之下。

如此在掃描完成之後,就可減少耗費在分類的時間。有些問題有 10 個或更多的相關聯變式,如此會減少報告中供使用者耗用的項目數量。此外,這在將問題指派給開發人員補救期間更具意義 -- 開發人員可以從若干範例瞭解這個漏洞是如何偵測到,並且全部歸納在一起。

瞭解報告中如何顯示靜態分析發現項目

AppScan® Source 中,會賦予發現項目「嚴重性」和「分類」。在特定的發現項目中,分類實質上是「機密」。在套用 AppScan® Source 靜態分析發現項目的匯入和組織方法時,有很多地方都和動態分析問題相同。在很多情況下,會將多個發現項目套用至相同的邏輯問題;會套用相同的主要原因與修正程式。

這些發現項目會集結在報告中,並將每一個 AppScan® Source 發現項目視為相同邏輯問題的變式或變異。除了在完全重複的罕見情況下會捨棄重複項目,否則,在處理期間,一個發現項目會產生一項變式。匯入期間會呈現統計資料,來詳加說明發現項目如何處理和對映至問題。這不僅會將相關的發現項目組織在一起,也能減少耗費在分類這些問題的整體時間。

AppScan® Enterprise Server 中,問題是受管理而非個別的發現項目,並且會假設如果問題是「誤判」,則該問題的所有變異也是誤判,而如果問題「已修正」,則該問題的所有變異也已修正。