AppScan 來源 的新增功能

探索這些已新增至 AppScan® 來源 的新增特性，並指出在這個版本中已淘汰的任何這些與功能。

AppScan 來源 10.0.5 版的新增功能

HCL® AppScan 來源 10.0.5 版是 HCL AppScan 來源 主要版本 10.0.0 發行之後的第五個修正套件版本。

AppScan 來源 10.0.5 版中的增強功能和新功能

  • KBArticle 伺服器已取代為 AppScan Security Info Server。AppScan Security Info Server 的內容和介面已更新，為使用者提供更好的服務，但它提供與先前 AppScan 來源 版本中的 KBArticle 伺服器相同的用途：協助使用者緩解和解決應用程式安全發現項目。
  • AppScan 來源 已將諮詢資訊新增至報告，以協助發現項目補救。
  • 補救協助視圖已重新命名為如何修正。
  • AppScan 來源 已新增 DISA STIG v5r1 報告格式的支援。

    這個新報告列出了 Application Security Checklist 5.1 版中指定的漏洞種類。AppScan 來源 會儘可能產生相關結果，以協助檢閱人員判定應用程式是否符合 STIG 的需求。

  • Windows 及 Linux 上都支援 HCL Common Local License Server 2.0。
  • 產生發現項目報告的 AppScan 來源 支援，其中發現項目是按修正程式群組分組。

AppScan 來源 10.0.5 版中的已知問題

  • 為 AppScan Source 設定的語言環境應該符合系統語言環境，以避免主控台輸出中出現亂碼字元。
  • Linux 上的如何修正視圖有一些呈現問題。此外，外部參照連結不會從 Linux 上的如何修正視圖中開啟；在外部瀏覽器中開啟文章以正確呈現並存取外部連結。

AppScan 來源 10.0.4 版的新增功能

HCL AppScan 來源 10.0.4 版是 HCL AppScan 來源 主要版本 10.0.0 發行之後的第四個修正套件版本。

AppScan 來源 10.0.4 版中的增強功能和新功能

  • 從 10.0.4 版起， AppScan 來源 支援下列作業系統：
    • Windows Server 2019
    • Red Hat Linux 7.8 和 7.9 版

    如需其他資訊，請參閱 系統需求和安裝必備項目。

  • 自 10.0.4 版起，AppScan 來源 支援以下語言和語言版本：
    • Java 第 9、10、11 版：
      • 預設值為 AdoptOpenJDK 11
      • 指定的任何替代 JDK 都必須為 64 位元
    • .NET Core 3.1
    • 基礎架構即代碼 (IaC)

    如需相關資訊，請參閱 系統需求和安裝必備項目。

AppScan 來源 10.0.4 版中的已知問題

  • 在 AppScan 來源 9.3.14 版或更舊版本中建立並在「內容」檢視中標記為排除的組合，在升級到 AppScan 來源 10.0.0 版及更新版本後不會排除結果。應在 AppScan 來源 10.0.0 版或更新版本中重新建立組合。
  • 若對 AppScan Source for Analysis 用戶端中的所有應用程式執行掃描，可能會移入「發現」視圖，但不會移入修正群組。務必只對個別應用程式執行掃描避免此結果，並且在修正群組中適當地顯示發現項目。
  • 如果評量檔名包含原生字元，則無法在英文以外的語言環境中，將評量發布至 AppScanEnterprise。請從檔名移除原生字元，然後重新發布。

AppScan 來源 10.0.3 版的新增功能

HCL AppScan 來源 10.0.3 版是 HCL AppScan 來源 主要版本 10.0.0 發行之後的第三個修正套件版本。

AppScan 來源 10.0.3 版中加強和新的功能

  • 從 10.0.3 版開始，AppScan 來源 新增對下列語言的支援：
    • Android Java
    • Ionic
    • Objective C
    • React Native
    • SAP ABAP
    • Vue.js
    • Xamarin

    如需其他資訊，請參閱系統需求。

  • 靜態分析的修正程式群組支援。

    修正程式群組是一種新方法，用來管理、分類及解決在靜態分析掃描中發現的問題。執行靜態掃描之後，AppScan 來源 就會根據漏洞類型和必要的補救作業，將問題組織到修正程式群組。如需其他資訊，請參閱使用靜態分析修正程式群組。

  • 作為修正程式群組支援的一部分，在「選取發現項目報告」對話框中可以看到伴隨報告的技術預覽。報告目前僅顯示有關修正程式群組類型的高階資訊。在未來版本中，將對報告功能加入額外深度，包括修正群組的最佳修正位置。

AppScan 來源 10.0.3 版中的已知問題

  • CLI 指令 details 間歇性地報告錯誤。但是，指令的功能不受影響。
    ERROR [main] (PrexisLogger.java:263) - Exception javax.xml.stream.XMLStreamException: Element type "Site" must be followed by either attribute specifications, ">" or "/>".

  • 開啟已發佈到 AppScan 來源 資料庫的評量以檢視修正程式群組資訊時，NULL 可能會取代修正程式群組類型或修正程式群組 ID 顯示。將評量儲存到本端檔案系統，然後使用「開啟評量」指令開啟評量，以檢視已發佈靜態分析評量的修正程式群組資訊。

其他 AppScan Source 10.0.3 版安裝及交互作業能力資訊

  • 當先前安裝已與資料庫進行配置時，如果您升級 AppScan 來源 或執行 AppScan 來源 10.0.3 版的修復安裝，則必須手動啟動 AppScan Source DB 服務。

AppScan 來源 10.0.2 版的新增功能

HCL AppScan 來源 10.0.2 版是 HCL AppScan 來源 主要版本 10.0.0 發行之後的第二個修正套件版本。

AppScan 來源 10.0.2 版中加強和新的功能

  • 從 AppScan 來源 10.0.2 版開始就需要 HCL 授權。請參閱如何取得和申請 AppScan Source 產品的授權，取得相關資訊。
  • AppScan 來源 Analysis 10.0.2 版不需要連接資料庫即可進行掃描。共用掃描配置和結果的與 AppScan Enterprise 整合配置在 AppScanEnterprise 中。此處有斷線功能的詳細說明。
  • AppScan 來源 推出下列語言的支援：Angular 8、Angular 9、Groovy、Symfony 及 TypeScript。如需完整資訊，請參閱系統需求。

其他 AppScan 來源 10.0.2 版安裝及交互作業能力資訊

  • 將 AppScan 來源 10.0.2 版安裝至全新系統時，沒有要安裝的資料庫，因此不需要執行資料庫配置。配置與 AppScan Enterprise 整合，以儲存及擷取共用資訊。
  • 將 AppScan 來源 10.0.2 版安裝至全新系統以在連線模式中使用時，需要 AppScanEnterprise 10.0.2 版。不支援舊版 AppScanEnterprise。此外，也須安裝 AppScan Enterprise Server，並同時安裝使用者管理及 Enterprise Console。

  • 從舊版升級至 AppScan 來源 10.0.2 版時，先前安裝的任何資料庫都受到完整支援，包括配置功能。

  • 當先前安裝已與資料庫進行配置時，如果您執行 AppScan 來源 10.0.2 版的修復安裝，則必須手動啟動 AppScan Source DB 服務。
  • 如果您升級 AppScan 來源，其中僅安裝自動化伺服器或用戶端元件，並在稍後執行修復安裝，請更新 'ounce.ozsettings 中的下列內容：
    • name=core_provider value=1
    • name=connect_mode value=false
  • 不支援在 10.0.2 版之前建立的無聲自動安裝程式回應檔。必須建立新的無聲自動安裝程式回應檔，才能與 AppScan 來源 10.0.2 版搭配使用。

AppScan 來源 10.0.2 版中接近結束期限或移除的功能

  • AppScan Source 不再支援 IBM 授權，因此再也無法在授權管理程式中配置它們。請參閱如何取得和申請 AppScan Source 產品的授權，取得相關資訊。
  • AppScan 來源 版本 10.0.2 不再支援 Visual Studio 2010。
  • AppScan 來源 不再會隨附 SolidDB，並且 SolidDB 的安裝不屬於解決方案的一部分。現已安裝的 SolidDB 會繼續獲得支援。
  • 管理員功能表裡不會再有審核日誌選項。

AppScan 來源 10.0.1 版的新增功能

HCL AppScan 來源 10.0.1 版是 HCL AppScan 來源 主要版本 10.0.0 發行之後的第一個修正套件版本。隨著這個版本的發行，AppScan 團隊距離我們領先業界的安全掃描系列產品定期及頻繁更新的持續發行模型更近一步。

AppScan 來源 10.0.1 版中加強和新的功能

  • AppScan 來源 版本 10.0.1 已加強授權功能，包括在使用者介面中針對 HCL 型授權的 Proxy 支援，可以使用不受信任的憑證與本端授權伺服器連線。
  • AppScan 來源 10.0.1 版引進了 AppScanDelta。此特性可讓使用者執行從指令行進行兩個評量之間的差異比較。
  • AppScan 來源 支援 NetCore 2.1 和 2.2。
  • AppScan 來源 版本 10.0.1 包含 Scala、Swift、Kotlin 和 ReactJS 語言的支援。如需其他資訊，請參閱系統需求。
  • AppScan 來源 版本 10.0.1 支援 DISA STG v4r10 報告格式。

AppScan 來源 10.0.1 版中的已知問題

  • 如果您是從 2015 或更舊版本掃描 Visual Studio 專案，掃描可能會失敗，並且顯示要刪除 discoverymanager.exe.config 的訊息。請刪除指定的檔案然後再試一次。如需相關資訊，請參閱這裡。

AppScan 來源交互作業能力 (interoperability)

  • 必須如下所述配置 9.0.3x 版和 10.0.0 版的 AppScanEnterprise，才能與 AppScan 來源 10.0.5 交互作業： 
    set "allow.newer.source.clients=true" in 
\Program Files (x86)\IBM\AppScan Enterprise\Liberty\usr\servers\ase\config\asc.properties file

AppScan 來源 10.0.1 版中接近結束期限或移除的功能

從 AppScan 來源 10.0.1 版起，下列功能已接近結束期限。請做好因應規劃。

  • 重要事項！在新版本 AppScan 中針對 IBM 授權的支援，將會在 2020 年第三季（八月/九月）結束。後續新版本的 AppScan 產品僅支援 HCL 授權。如需授權的其他資訊，請參閱啟動軟體。您也可以聯絡 HCL 業務代表或 HCL 支援中心。
  • 從 2020 年第三季（八月/九月）開始，SolidDB 不會再隨著產品更新出貨。現有安裝仍然受到支援。

AppScan 來源 10.0.0 版的新增功能

HCL AppScan 來源 10.0.0 版大幅提升 AppScan 系列產品背後的技術。為了現在和將來，HCL 已投資於 DevSecOps 市場中的產品，奠定基礎來強化我們領先市場的安全掃描產品。

AppScan 來源 10.0.0 版中加強和新的功能

  • IBM® Security AppScan Source 現在是 HCL AppScan 來源。

    在 2019 年中旬，HCL Technologies 收購 IBM 的 AppScan 產品系列，包括 AppScanEnterprise、AppScan Standard、AppScan 來源 和 AppScan on Cloud。所有 AppScan 產品現在由 HCL Software 所擁有、開發及提升。所有授權、標誌、命名慣例及其他智慧財產權由 HCL 擁有。因此，所有 AppScan 產品都已更換品牌，以反映此擁有權及其開發和成長階段。

  • 介紹以下產品的 HCL 授權： HCL AppScan 來源

    從 IBM 移轉到 HCL 的過程中，HCL 針對 AppScan 產品系列，引進 HCL 核心授權套件。AppScan、AppScan Standard 及 AppScan 來源 使用本端 FlexLM 授權伺服器、透過 Proxy 伺服器鑑別；AppScan on Cloud 採用 Okta 領先市場的客戶身分存取管理 (CAIM) 系統。

  • AppScan 來源 現在支援 Go 程式設計語言 (Golang)。
  • AppScan 來源 現在於 Visual Studio 2015、2017 和 2019 中支援 C++ 掃描。
  • AppScan 來源 現在支援 Oracle 19c。
  • 新的資料流掃描功能執行更完整的程式碼分析，產生更多發現項目。
  • 若是具有自訂掃描器的 AppScan 來源 語言，您在使用 AppScan 來源 10 版掃描時，可能會在發現項目中看見標示的差異。在掃描已轉換為自訂掃描的狀況中，這可能表示發現項目的減少。自訂掃描器的規則正在發展並定期增添中，且易於增強。
  • 加強與「智慧型程式碼分析 (ICA)」和「智慧型發現項目分析 (IFA)」的整合。

    啟用 ICA/IFA 時，您會看到且可以存取「已排除的發現項目」標籤。如需相關資訊，請參閱AppScan 來源 文件中的智慧型發現項目分析 (IFA)。

    根據預設，所有掃描的 IFA 已啟用。啟用時，會套用到目前掃描與未來掃描。無法將此功能從先前掃描套用到評量。

  • 在 AppScan 來源 中掃描 .NET 專案（ASP、WEB、Framework、Core），類似於 HCL AppScan on Cloud 中的處理程序。.NET 專案必須先完成編譯，才能掃描，而且在專案內容中必須有正確的建置規格。
  • 15 GB 是安裝 AppScan 來源 和執行基本掃描所需的最小空間量。但是，所需的磁碟空間隨著要掃描的應用程式而不同。建議至少要有 8 GB 的 RAM 和 15-20 GB 的可用磁碟空間。您也可能需要提高 Windows 分頁檔需求（如需相關資訊，請參閱改善 Windows 10 電腦效能的提示）。

  • 如需系統需求及掃描和外掛程式支援的相關資訊，請參閱系統需求和安裝必備項目或聯絡 HCL 支援中心。

其他 AppScan 來源 10.0.0 版的安裝指示

當安裝 AppScan 來源 10.0.0 版與 Visual Studio 2019 外掛程式時，安裝顯示順利完成，但是 Visual Studio 2019 外掛程式可能無法正確安裝。

若要在 Visual Studio 2019 中安裝 AppScan 來源 10.0.0 版外掛程式：

  1. 請確定 HCL AppScan 來源 10.0.0 版是安裝在目標系統上。在安裝期間選取 Microsoft Visual Studio 2019 外掛程式。
  2. 如果 AppScan 來源 10.0.0 之前的版本已安裝至 Visual Studio 2019 的目標實例，請如下所示進行解除安裝：
    1. 啟動目標 Visual Studio 2019 實例。
    2. 開啟至 Visual Studio > 延伸模組 > 管理延伸模組。
    3. 在「已安裝」標籤上，從清單中選取「AppScan Source 外掛程式」。
    4. 按一下「解除安裝外掛程式」，然後遵循提示完成解除安裝。
  3. 將 HCL AppScan 來源 10.0.0 版外掛程式安裝至 Visual Studio 2019 實例，如下所示：
    1. 關閉所有 Visual Studio 2019 實例。
    2. 從HCL AppScan 來源 版本下載網站下載 VS2019Plugin.zip。
    3. 將 zip 檔的內容解壓縮至 <AppScan Source Install Dir>（預設位置是 C:\Program Files (x86)\IBM\AppScanSource）。出現提示時，針對所有選項選擇「是」。
    4. 從 <AppScan Source Install Dir>/bin 目錄中按兩下 AppScanSrcPlugin.vsix。
    5. 在產生的「VSIX 安裝程式」對話框中，選取 Visual Studio <版本> 2019，然後按一下安裝。

      根據在機器上安裝的項目，版本可以是 Professional、Enterprise 或 Community。如果可用，您可以選擇安裝一個以上的版本。

    6. 當安裝完成時，請關閉對話框。
    7. 重新啟動 Visual Studio 2019。「AppScan Source 外掛程式」會顯示在「延伸模組」下方。

AppScan 來源 版本 10.0.0 交互作業能力

HCL AppScan 來源 10.0.0 需要 AppScan 來源 10.0.0 資料庫（SolidDB 或 Oracle）：
  • AppScan 來源 10.0.0 用戶端將無法透過 10.0.0 以前的 AppScan 來源 資料庫正確地掃描，這是因為資料庫內容與掃描規則相關，造成內容的差異。
  • 同樣的，10.0.0 以前的 AppScan 來源 用戶端將無法透過 10.0.0 AppScan 來源 資料庫正確地掃描。
AppScan 來源 10.0.0 將與 AppScanEnterprise 9.0.3.x 以前的版本交互作業：
  • 9.0.3.x 版的 AppScan 來源 無法使用由 AppScan 來源 10.0.0 資料庫的實例所配置的 AppScanEnterprise 實例，反之亦然
  • 必須如下所述配置 9.0.3x 版的 AppScanEnterprise，才能與 AppScan 來源 10.0.0 交互作業： 
    set "allow.newer.source.clients=true" in 
\Program Files (x86)\IBM\AppScan Enterprise\Liberty\usr\servers\ase\config\asc.properties file

AppScan 來源 10.0.0 版中的已知問題

本節涵蓋 AppScan 來源 10.0.0 版的相關資訊、已知限制及因應措施。
  • 不支援下列語言：
    • Arxan C
    • WSDL
  • 在 WebSphere 上，僅支援預設的 JSP 編譯選項。
  • 單一檔案掃描並非適用於所有的語言。
  • 沒有機制可停用 JSP 檔案的前置編譯。JSP 檔案將一律前置編譯。
  • 「停止/取消掃描」在 Linux 系統上不會運作。
  • 當使用指令行介面時，「停止/取消」可能無法在 Windows 系統上運作。如果要解決這個問題，請重新啟動 AppScan 來源 並且結束背景處理程序。
  • 將 AppScan 來源 10.0.0 版從 Windows 系統解除安裝時，解除安裝處理程序有時會當機。如需相關資訊，請參閱在 Windows 解除安裝 AppScan 來源 會當機。
  • 在升級至 AppScan 來源 10.0.0 版之後，系統不會產生 PDF 報告。如需相關資訊，請參閱在升級實務範例中，AppScan Source 10.0.0 在 PDF 報告產生期間擲出 「java.lang.reflect.InvocationTargetException」。

AppScan 來源 10.0.0 版中接近結束期限的功能

從 AppScan 來源 10.0.0 版起，下列功能已接近結束期限。請做好因應規劃。

AppScan 來源 10.0.0 版不再支援的功能

  • 不再支援漏洞快取。
  • 不支援增量掃描。
  • 不支援非 CPA 掃描。

  • 從 9.0.3.11 版起，AppScan 來源 不再支援 macOS 或 iOS Xcode 專案掃描。

    AppScan 來源 的部分元件為 32 位元。MacOS 10.14 (Mojave) 是支援 32 位元應用程式的最新 Mac 作業系統版本。

    您可以繼續在 Mac OS 10.12（含）以下的作業系統上使用 AppScan 來源 9.0.3.10 及更早版本。