- HCL AppScan Source for Development (plug-in Eclipse)
Avec AppScan® Source for Development, vous pouvez travailler dans votre environnement de développement existant et effectuer une analyse de la vulnérabilité en matière de sécurité de vos projets Java et IBM® MobileFirst Platform. L'analyse de sécurité permet de dénicher les vulnérabilités dans le code source et de les éliminer avec l'assistance de rattrapage de AppScan® Base de connaissances de sécurité Source.
- HCL MobileFirst Platform Application Scanning
AppScan® Source for Development est également fourni comme MobileFirst Platform Application Scanning. Avec MobileFirst Platform Application Scanning, vous pouvez travailler dans votre environnement de travail existant et effectuer une analyse de vulnérabilité de sécurité dans des projets IBM® MobileFirst Platform. L'analyse de sécurité permet de dénicher les vulnérabilités dans le code source et de les éliminer avec l'assistance de rattrapage de AppScan® Base de connaissances de sécurité Source.
- Glossaire
- AppScan Source for Development en mode serveur et en mode local
Les plug-in AppScan® Source for Development peuvent être utilisés avec ou sans serveur AppScan®Enterprise Server. En mode serveur, vous vous connectez au serveur pour exécuter des examens et accéder aux données partagées, comme dans les versions précédentes du produit. Dans le nouveau mode local, AppScan® Source for Development s'exécute sans se connecter à un serveur AppScan®Enterprise Server et vous ne pouvez pas accéder aux éléments partagés tels que les filtres, les examens de configuration et les règles personnalisées.
- Création de variables
Pour ouvrir une évaluation ou un groupement créé précédemment dans AppScan® Source for Analysis qui s'appuie sur une variable de chemin, vous devez créer une variable correspondante dans votre environnement de développement. La création d'une variable garantit la disponibilité des données sur plusieurs ordinateurs. Pour partager des données d'évaluation, vous devez définir les variables appropriées.
- Configuration des examens
Selon le type de projet que vous examinez et le type d'examen que vous souhaitez réaliser, vous devrez peut-être configurer votre examen avant de l'exécuter. Par exemple, il est possible de configurer des projets pour utiliser un autre compilateur JDK ou JSP que ceux définis par défaut.
- Préférences générales
Les préférences générales vous permettent d'adapter certains paramètres par défaut de AppScan® Source for Development en fonction de vos préférences personnelles.
- Préférences générales
Les préférences générales vous permettent d'adapter certains paramètres par défaut de AppScan® Source for Development en fonction de vos préférences personnelles.
- Examen
Vous pouvez examiner un espace de travail, un projet ou un fichier Eclipse ou Rational® Application Developer for WebSphere® Software (RAD). Sont inclus l'examen de Java™ (y compris Android), l'examen des pages JSP (JavaServer Pages) et l'examen des projets IBM® MobileFirst Platform.
- Ouverture et sauvegarde d'évaluations
AppScan® Source examine le code source pour détecter des vulnérabilités et génère des constatations. Ces constatations sont les vulnérabilités détectées au cours d'un examen et le résultat d'un examen constitue une évaluation. Vous pouvez ouvrir une évaluation sauvegardée à partir d'AppScan® Source for Development ou AppScan® Source for Analysis. Après votre examen, vous pouvez sauvegarder l'évaluation sur un fichier. Ensuite, vous pouvez rouvrir l'évaluation à tout moment. Les évaluations sont sauvegardées sous la forme filename.ozasmt.
- Personnalisation du tableau de constatations
Vous pouvez personnaliser les tables de constatations dans toutes les vues comportant des constatations (hormis la vue Différences entre les évaluations dans AppScan® Source for Analysis) en identifiant les seules colonnes et l'ordre dans lequel vous désirez les afficher. Chaque vue peut avoir des paramètres distincts ou vous pouvez appliquer vos options à toutes les vues. Pour personnaliser l'ordre des colonnes, suivez les procédures de cette rubrique de tâche.
- Sauvegarde de constatations sélectionnées dans une évaluation
- Recherche de constatations
Vous pouvez rechercher des constatations spécifiques dans plusieurs vues contenant des constatations. Les critères de recherche incluent les groupements, le code, les fichiers, les projets et les types de vulnérabilité. Les résultats figurent dans la vue Résultats de la recherche.
- Modification de constatations
Les constatations modifiées sont celles dont le type de vulnérabilité, la classification ou la gravité a été modifié ou auxquelles des annotations ont été ajoutées. La vue Constatations modifiées affiche ces constatations pour l'application en cours (l'application active après qu'une évaluation a été ouverte pour cette application). Dans la vue Mes évaluations (disponible uniquement dans AppScan® Source for Analysis), la colonne Modifié indique si une constatation a été modifiée dans l'évaluation en cours.
- Résolution des problèmes de sécurité et affichage de l'aide à la résolution
AppScan® Source vous alerte en cas d'erreurs ou de failles de conception courantes de la sécurité et vous assiste dans leur processus de résolution. La AppScan® Base de connaissances de sécurité Source et les éditeurs de code internes ou externes vous aident au cours de ce processus.
- Triage avec exclusions
Après un examen, vous pouvez décider que certaines constatations ne sont pas pertinentes pour votre travail actuel et que vous ne désirez pas qu'elles soient visibles dans le tableau des constatations lors du triage de ces résultats. Ces exclusions (ou constatations exclues) n'apparaissent plus dans la vue Constatations et les métriques des évaluations sont immédiatement actualisées avec les résultats modifiés. Le filtrage et les exclusions de groupements ajoutés à une configuration ne prennent effet que lors des examens ultérieurs.
- Création et gestion de filtres
AppScan® Source propose plusieurs méthodes pour la création et l'utilisation des filtres. L'éditeur de filtre, la vue principale pour la création de filtres, propose un ensemble de règles robustes pouvant être définies manuellement, puis enregistrées dans un filtre. Il fournit également un mécanisme afin de gérer les filtres que vous avez créés, en vous permettant de les modifier ou de les supprimer aisément. Vous pouvez également filtrer le tableau des constatations depuis les vues présentant des représentations graphiques de celles-ci, puis enregistrer ces filtres depuis la vue Editeur de filtre. Lorsque vous créez un filtre, les autres vues sont actualisées en reflétant les propriétés du filtre.
- Annotations et attributs pris en charge
Certains attributs ou annotations utilisés pour enrichir le code sont traités lors des examens. Lorsqu'une annotation ou un attribut pris en charge est détecté lors d'un examen, ces informations sont utilisées pour marquer la méthode enrichie en tant que rappel entaché. Une méthode marquée comme rappel entaché est traitée si tous ses arguments comportent des données entachées. Ceci débouche sur un plus grand nombre de constatations accompagnées de traces. Les annotations et attributs pris en charge sont répertoriés dans cette rubrique d'aide.
- Utilisation de groupements
Un groupement (mécanisme d'agrégation de constatations) vous permet d'importer un instantané de constatations depuis AppScan® Source for Analysis vers AppScan® Source for Development. Une fois que les constatations se trouvent dans des groupements, vous pouvez utiliser AppScan® Source for Development pour ouvrir le projet qui contient le groupement, importer le groupement ou ouvrir un fichier de groupement sauvegardé (file_name.ozbdl).
- Trace AppScan Source
La trace AppScan® Source permet de vérifier que la validation et le codage des entrées répondent à vos règles de sécurité logicielle. Elle permet d'examiner les constatations qui génèrent des traces d'entrée/sortie et de marquer des méthodes en tant que routines de validation et codage, sources ou collecteurs, rétro-appels ou propagateurs de taches.
- Vues et fenêtres
Les vues et fenêtres de AppScan® Source for Development fournissent des présentations alternatives des constatations, permettent l'édition du code et la navigation entre les informations dans votre plan de travail. Une vue peut figurer seule ou être juxtaposée à d'autres dans un bloc-notes à onglets. Vous pouvez modifier l'agencement d'une perspective ou d'une fenêtre en ouvrant et en fermant des vues, et en les ancrant dans des positions différentes dans la fenêtre du plan de travail.
- Emplacements des fichiers de données utilisateur et des fichiers d'installation
Lorsque vous installez AppScan® Source, les fichiers de données utilisateur et de configuration sont stockés hors du répertoire d'installation.
- Prise en charge de CWE
La liste CWE (Common Weakness Enumeration) est une liste de normes de l'industrie fournissant des noms usuels pour les faiblesses logicielles publiquement connues. Cette rubrique répertorie les ID CWE pris en charge dans la version actuelle de AppScan® Source.
- Analyse de résultats intelligente (IFA)
Découvrez l'auto-triage et l'analyse des constatations depuis AppScan® Source.