Accueil
Développement
Apprenez à développer à l'aide du produit.
Triage et analyse
Le regroupement de constatations similaires permet aux analystes de la sécurité ou aux auditeurs du service informatique d'effectuer une segmentation et un triage des problèmes affectant le code source. Cette section explique comment procéder au triage des évaluations AppScan® Source et à l'analyse des résultats.
Triage avec des filtres
AppScan® Source for Analysis rend compte de toutes les vulnérabilités de sécurité potentielles et peut donc générer des milliers de constatations pour une base de code de moyenne/grande envergure. Lors de l'examen, vous pouvez conclure que la liste des constatations contient des éléments sans importance dans votre cas. Pour éliminer certains éléments de la vue Constatations, vous pouvez choisir un filtre prédéfini ou créer votre propre filtre. Un filtre spécifie les critères qui déterminent les constatations à supprimer de la vue.
Application de filtres
Les filtres peuvent être appliqués avant ou après l'analyse. Pour appliquer des filtres après l'examen, utilisez l'Editeur de filtre ou une autre vue qui vous permet de les appliquer. Pour appliquer des filtres avant l'examen, définissez un filtre global ou filtrez en utilisant une configuration d'examen. Lorsque vous appliquez des filtres avant l'examen, vous ne pouvez pas afficher des constatations non filtrés ou supprimer le filtre sans effectuer un nouvel examen.

Développement
Apprenez à développer à l'aide du produit.
- Examen du code source et gestion des évaluations
  Cette section explique comment examiner votre code source et gérer les évaluations.
- Triage et analyse
  Le regroupement de constatations similaires permet aux analystes de la sécurité ou aux auditeurs du service informatique d'effectuer une segmentation et un triage des problèmes affectant le code source. Cette section explique comment procéder au triage des évaluations AppScan® Source et à l'analyse des résultats.
  - Affichage des constatations
    La vue Constatations, ou toute vue contenant des constatations, affiche leur arborescence (regroupement hiérarchique des critères d'évaluation) et un Tableau des constatations pour chaque examen. L'élément sélectionné dans l'arborescence des constatations détermine les constatations présentées dans le tableau.
  - Processus de triage AppScan® Source
    Le processus de triage désigne la manipulation des constatations via des groupements, des filtres et des exclusions et la comparaison des résultats des évaluations.
  - Exemple de triage
    Cet exemple décrit un flux de travaux de triage AppScan® Source utilisé par un analyste de la sécurité. Le flux de travail de triage peut varier en fonction des besoins de votre activité.
  - Triage avec des filtres
    AppScan® Source for Analysis rend compte de toutes les vulnérabilités de sécurité potentielles et peut donc générer des milliers de constatations pour une base de code de moyenne/grande envergure. Lors de l'examen, vous pouvez conclure que la liste des constatations contient des éléments sans importance dans votre cas. Pour éliminer certains éléments de la vue Constatations, vous pouvez choisir un filtre prédéfini ou créer votre propre filtre. Un filtre spécifie les critères qui déterminent les constatations à supprimer de la vue.
    - Utilisation des filtres prédéfinis AppScan® Source
      AppScan® Source inclut un ensemble de filtres prédéfinis que vous pouvez sélectionner pour le filtrage des résultats d'examen. La présente rubrique d'aide décrit ces filtres prêts à l'emploi.
    - Création et gestion de filtres
      AppScan® Source propose plusieurs méthodes pour la création et l'utilisation des filtres. L'éditeur de filtre, la vue principale pour la création de filtres, propose un ensemble de règles robustes pouvant être définies manuellement, puis enregistrées dans un filtre. Il fournit également un mécanisme afin de gérer les filtres que vous avez créés, en vous permettant de les modifier ou de les supprimer aisément. Vous pouvez également filtrer le tableau des constatations depuis les vues présentant des représentations graphiques de celles-ci, puis enregistrer ces filtres depuis la vue Editeur de filtre. Lorsque vous créez un filtre, les autres vues sont actualisées en reflétant les propriétés du filtre.
    - Application de filtres
      Les filtres peuvent être appliqués avant ou après l'analyse. Pour appliquer des filtres après l'examen, utilisez l'Editeur de filtre ou une autre vue qui vous permet de les appliquer. Pour appliquer des filtres avant l'examen, définissez un filtre global ou filtrez en utilisant une configuration d'examen. Lorsque vous appliquez des filtres avant l'examen, vous ne pouvez pas afficher des constatations non filtrés ou supprimer le filtre sans effectuer un nouvel examen.
      - Application de filtres globalement.
        Il est possible d'appliquer les filtres déjà créés à toutes les applications, à des applications individuelles et à des projets individuels. Les filtres globaux sont appliqués dans la vue Propriétés, dans laquelle vous pouvez spécifier leur type d'application (directement ou inversé). Par exemple, si vous souhaitez définir un filtre global pour une application, sélectionnez-le dans la vue Explorateur, puis ouvrez sa vue Propriétés (via le menu Vue ou en cliquant avec le bouton droit de la souris sur l'application, puis en cliquant sur Propriétés).
      - Détermination des filtres appliqués
        Pour vous permettre de déterminer rapidement la façon dont les filtres ont été appliqués aux constatations dans une évaluation, AppScan® Source fournit un indicateur de filtre.
  - Triage avec exclusions
    Après un examen, vous pouvez décider que certaines constatations ne sont pas pertinentes pour votre travail actuel et que vous ne désirez pas qu'elles soient visibles dans le tableau des constatations lors du triage de ces résultats. Ces exclusions (ou constatations exclues) n'apparaissent plus dans la vue Constatations et les métriques des évaluations sont immédiatement actualisées avec les résultats modifiés. Le filtrage et les exclusions de groupements ajoutés à une configuration ne prennent effet que lors des examens ultérieurs.
  - Utilisation de groupements
    Un groupement (mécanisme d'agrégation de constatations) vous permet d'importer un instantané de constatations depuis AppScan® Source for Analysis vers AppScan Source for Development. Une fois que les constatations se trouvent dans des groupements, vous pouvez utiliser AppScan Source for Development pour ouvrir le projet qui contient le groupement, importer le groupement ou ouvrir un fichier de groupement sauvegardé (file_name.ozbdl).
  - Utilisation de groupes de correctifs de l'analyse statique
    Les groupes de correctifs sont une nouvelle approche de la gestion, du triage et de la résolution de problèmes détectés dans l'analyse statique. Après l'exécution d'un examen statique, AppScan® Source organise les problèmes détectés en groupes de correctifs, en fonction du type de vulnérabilité et de la tâche de résolution requise.
  - Modification de constatations
    Les constatations modifiées sont celles dont le type de vulnérabilité, la classification ou la gravité a été modifié ou auxquelles des annotations ont été ajoutées. La vue Constatations modifiées affiche ces constatations pour l'application en cours (l'application active après qu'une évaluation a été ouverte pour cette application). Dans la vue Mes évaluations (disponible uniquement dans AppScan® Source for Analysis), la colonne Modifié indique si une constatation a été modifiée dans l'évaluation en cours.
  - Comparaison des constatations
    Utilisez l'action Evaluations de différences ou l'utilitaire AppScanDelta pour comparer les évaluations. Lorsque deux évaluations sont comparées, leurs différences s'affichent dans la vue Différences entre les évaluations ou dans un fichier .ozasmt. Les résultats contiennent les constatations nouvelles, corrigées/manquantes et communes.
  - Constatations personnalisées
    Pour étoffer vos résultats d'analyse, vous pouvez créer des constatations personnalisées. Il s'agit de constatations créées par l'utilisateur que AppScan® Source for Analysis ajoute à l'évaluation ouverte actuellement ou à l'application sélectionnée. Les constatations personnalisées affectent les métriques d'évaluations et peuvent être incluses dans des rapports. Une fois créée, une constatation personnalisée est incluse automatiquement dans les examens ultérieurs de l'application.
  - Résolution des problèmes de sécurité et affichage de l'aide à la résolution
    AppScan® Source vous alerte en cas d'erreurs ou de failles de conception courantes de la sécurité et vous assiste dans leur processus de résolution. La AppScan Base de connaissances de sécurité Source et les éditeurs de code internes ou externes vous aident au cours de ce processus.
  - Annotations et attributs pris en charge
    Certains attributs ou annotations utilisés pour enrichir le code sont traités lors des examens. Lorsqu'une annotation ou un attribut pris en charge est détecté lors d'un examen, ces informations sont utilisées pour marquer la méthode enrichie en tant que rappel entaché. Une méthode marquée comme rappel entaché est traitée si tous ses arguments comportent des données entachées. Ceci débouche sur un plus grand nombre de constatations accompagnées de traces. Les annotations et attributs pris en charge sont répertoriés dans cette rubrique d'aide.
- Trace AppScan® Source
  La trace AppScan® Source permet de vérifier que la validation et le codage des entrées répondent à vos règles de sécurité logicielle. Elle permet d'examiner les constatations qui génèrent des traces d'entrée/sortie et de marquer des méthodes en tant que routines de validation et codage, sources ou collecteurs, rétro-appels ou propagateurs de taches.
- AppScan® Source for Analysis et suivi des défauts
  AppScan® Source for Analysis s'intègre à systèmes de suivi des incidentsIBM® Rational Team Concert™ pour signaler directement les vulnérabilités logicielles avérées au bureau du développeur. La soumission de défaut à un système de suivi des défauts comprend une description du bogue, ainsi qu'un fichier contenant uniquement les constatations soumises avec le défaut.
- Recherche des rapports et des rapports d'audit
  Les analystes de la sécurité et les gestionnaires des risques peuvent accéder à des rapports sur des constatations spécifiques ou à une série de rapports d'audit évaluant la conformité avec les pratiques optimales en matière de sécurité et les exigences réglementaires. Cette section décrit comment créer des rapports sur les données de constatations agrégées.
- Création de rapports personnalisés
  Dans l'éditeur de rapport, vous pouvez créer des modèles de rapport servant à générer des rapports personnalisés.

Application de filtres

Les filtres peuvent être appliqués avant ou après l'analyse. Pour appliquer des filtres après l'examen, utilisez l'Editeur de filtre ou une autre vue qui vous permet de les appliquer. Pour appliquer des filtres avant l'examen, définissez un filtre global ou filtrez en utilisant une configuration d'examen. Lorsque vous appliquez des filtres avant l'examen, vous ne pouvez pas afficher des constatations non filtrés ou supprimer le filtre sans effectuer un nouvel examen.

Application des filtres avant l'examen

Voir Application de filtres globalement. pour en savoir plus sur la définition d'un filtre global - ou Configurations d'examen pour en savoir plus sur la définition de filtres dans les configurations d'examen.

Application des filtres après l'examen

Lorsque vous sélectionnez un filtre dans la vue Editeur de filtre, il est automatiquement appliqué à la liste de constatations. D'autres vues fournissent des actions de filtrage, comme décrit dans Création et gestion de filtres.