AppScan® 來源 的新增功能

AppScan® 來源 10.0.6 版的新增功能

HCL® AppScan® 來源 10.0.6 版是 HCL® AppScan® 來源 主要版本 10.0.0 發行之後的第六個修正套件版本。

AppScan® 來源 10.0.6 版中的增強功能和新功能

  • 如同在 AppScan® Source for Analysis 中執行時一樣,Visual Studio 外掛程式中的「發現項目」視圖目前依預設會按照修正群組來顯示發現項目。
  • AppScan® Source for Analysis 中用於評量比較的演算法已更新為新的演算法,以支援在指令行介面 (CLI) 中使用的新 API。來自 CLI 的結果和 AppScan® Source for Analysis 目前會一樣;不過,與前一個演算法的比較結果可能有些差異。
  • 在演算法更新中,您現在可以選擇從 AppScan® Source for Analysis「評量差異」視圖中,儲存新發現項目和/或已解決發現項目的評量 。

  • AppScan® 來源 支援 C/C++、.Net 和 Java 的僅限原始碼掃描
  • AppScan® 來源 已將諮詢資訊新增至業界標準報告,以協助發現項目的補救。
  • AppScan® 來源 支援使用 「主旨替代名稱 - 多網域 (SAN)」憑證進行 CAC 鑒別
  • AppScan® 來源 支援 Dart 程式設計語言
  • 支援 Linux 系統上的停止/取消掃描。

AppScan® 來源 10.0.6 版中的已知問題

  • 如果您使用以 AppScan® 來源 10.0.5 版或更早版本建立的 Objective-C .paf/.ppf 檔案來執行掃描,則 Objective-C 專案的掃描會失敗。請在 AppScan® 來源 10.0.6 版中重新配置 Objective-C 專案 ,然後再試一次。

AppScan® 來源 10.0.6 版中接近結束期限或移除的功能

  • AppScan® 來源 已停止支援單一檔案掃描版本 10.0.0。

AppScan® 來源 10.0.5 版的新增功能

HCL® AppScan® 來源 10.0.5 版是 HCL® AppScan® 來源 主要版本 10.0.0 發行之後的第五個修正套件版本。

AppScan® 來源 10.0.5 版中的增強功能和新功能

  • KBArticle 伺服器已取代為 AppScan Security Info ServerAppScan Security Info Server 的內容和介面已更新,為使用者提供更好的服務,但它提供與先前 AppScan® 來源 版本中的 KBArticle 伺服器相同的用途:協助使用者緩解和解決應用程式安全發現項目。
  • AppScan® 來源 已將諮詢資訊新增至報告,以協助發現項目補救。
  • 補救協助視圖已重新命名為如何修正
  • AppScan® 來源 已新增 DISA STIG v5r1 報告格式的支援。

    這個新報告列出了 Application Security Checklist 5.1 版中指定的漏洞種類。AppScan® 來源 會儘可能產生相關結果,以協助檢閱人員判定應用程式是否符合 STIG 的需求。

  • WindowsLinux 上都支援 HCL Common Local License Server 2.0。
  • 產生發現項目報告AppScan® 來源 支援,其中發現項目是按修正程式群組分組。

其他 AppScan® 來源 10.0.5 版及 AppScan®Enterprise 10.0.5 版交互作業能力資訊

  • 現在,您可以使用 AppScan®Enterpriseasc.properties 檔案中的新內容,根據想要的使用者回應,來平衡從監控分頁發佈至 AppScan®Enterprise 或將問題匯入至 AppScan®Enterprise 的速度 。請參閱AppScan®Enterprise 說明文件以進一步了解如何使用 issue.import.batch.interval 內容。

AppScan® 來源 10.0.5 版中的已知問題

  • 為 AppScan Source 設定的語言環境應該符合系統語言環境,以避免主控台輸出中出現亂碼字元。
  • Linux 上的如何修正視圖有一些呈現問題。此外,外部參照連結不會從 Linux 上的如何修正視圖中開啟;在外部瀏覽器中開啟文章以正確呈現並存取外部連結。
  • 當自動化伺服器無法啟動 AppScan Security Info 伺服器,導致報告是使用 ounceauto 指令來產生時,「如何修正」資訊不會包含在報告中。如要避開這個問題,請在使用 ounceauto 產生報告之前,先啟動 AppScan® 來源 for Analysis 或指令行介面(CLI 用戶端);AppScan Security Info 伺服器會由 AppScan® 來源 for Analysis 及 CLI 用戶端自動啟動。

AppScan® 來源 10.0.4 版的新增功能

HCL® AppScan® 來源 10.0.4 版是 HCL® AppScan® 來源 主要版本 10.0.0 發行之後的第四個修正套件版本。

AppScan® 來源 10.0.4 版中的增強功能和新功能

  • 從 10.0.4 版起,AppScan® 來源 支援下列作業系統:
    • Windows Server 2019
    • Red Hat Linux 7.8 和 7.9 版

    如需其他資訊,請參閱 系統需求和安裝必備項目

  • 自 10.0.4 版起,AppScan® 來源 支援以下語言和語言版本:
    • Java 第 9、10、11 版:
      • 預設值為 AdoptOpenJDK 11
      • 指定的任何替代 JDK 都必須為 64 位元
    • .NET Core 3.1
    • 基礎架構即代碼 (IaC)

    如需相關資訊,請參閱 系統需求和安裝必備項目

AppScan® 來源 10.0.4 版中的已知問題

  • AppScan® 來源 9.3.14 版或更舊版本中建立並在「內容」檢視中標記為排除的組合,在升級到 AppScan® 來源 10.0.0 版及更新版本後不會排除結果。應在 AppScan® 來源 10.0.0 版或更新版本中重新建立組合。
  • 若對 AppScan® Source for Analysis 用戶端中的所有應用程式執行掃描,可能會移入「發現」視圖,但不會移入修正群組。務必只對個別應用程式執行掃描避免此結果,並且在修正群組中適當地顯示發現項目。
  • 如果評量檔名包含原生字元,則無法在英文以外的語言環境中,將評量發布至 AppScan®Enterprise。請從檔名移除原生字元,然後重新發布。

AppScan® 來源 10.0.3 版的新增功能

HCL® AppScan® 來源 10.0.3 版是 HCL® AppScan® 來源 主要版本 10.0.0 發行之後的第三個修正套件版本。

AppScan® 來源 10.0.3 版中加強和新的功能

  • 從 10.0.3 版開始,AppScan® 來源 新增對下列語言的支援:
    • Android Java
    • Ionic
    • Objective C
    • React Native
    • SAP ABAP
    • Vue.js
    • Xamarin

    如需其他資訊,請參閱系統需求

  • 靜態分析的修正程式群組支援。

    修正程式群組是一種新方法,用來管理、分類及解決在靜態分析掃描中發現的問題。執行靜態掃描之後,AppScan® 來源 就會根據漏洞類型和必要的補救作業,將問題組織到修正程式群組。如需其他資訊,請參閱使用靜態分析修正程式群組

  • 作為修正程式群組支援的一部分,在「選取發現項目報告」對話框中可以看到伴隨報告的技術預覽。報告目前僅顯示有關修正程式群組類型的高階資訊。在未來版本中,將對報告功能加入額外深度,包括修正群組的最佳修正位置。

AppScan® 來源 10.0.3 版中的已知問題

  • CLI 指令 details 間歇性地報告錯誤。但是,指令的功能不受影響。
    ERROR [main] (PrexisLogger.java:263) - Exception javax.xml.stream.XMLStreamException: Element type "Site" must be followed by either attribute specifications, ">" or "/>".
  • 開啟已發佈到 AppScan® 來源 資料庫的評量以檢視修正程式群組資訊時,NULL 可能會取代修正程式群組類型或修正程式群組 ID 顯示。將評量儲存到本端檔案系統,然後使用「開啟評量」指令開啟評量,以檢視已發佈靜態分析評量的修正程式群組資訊。

其他 AppScan Source 10.0.3 版安裝及交互作業能力資訊

  • 當先前安裝已與資料庫進行配置時,如果您升級 AppScan® 來源 或執行 AppScan® 來源 10.0.3 版的修復安裝,則必須手動啟動 AppScan Source DB 服務。

AppScan® 來源 10.0.2 版的新增功能

HCL® AppScan® 來源 10.0.2 版是 HCL® AppScan® 來源 主要版本 10.0.0 發行之後的第二個修正套件版本。

AppScan® 來源 10.0.2 版中加強和新的功能

  • AppScan® 來源 10.0.2 版開始就需要 HCL 授權。請參閱如何取得和申請 AppScan Source 產品的授權,取得相關資訊。
  • AppScan® 來源 Analysis 10.0.2 版不需要連接資料庫即可進行掃描。共用掃描配置和結果的與 AppScan Enterprise 整合配置在 AppScan®Enterprise 中。此處有斷線功能的詳細說明。
  • AppScan® 來源 推出下列語言的支援:Angular 8、Angular 9、Groovy、Symfony 及 TypeScript。如需完整資訊,請參閱系統需求

其他 AppScan® 來源 10.0.2 版安裝及交互作業能力資訊

  • AppScan® 來源 10.0.2 版安裝至全新系統時,沒有要安裝的資料庫,因此不需要執行資料庫配置。配置與 AppScan Enterprise 整合,以儲存及擷取共用資訊。
  • AppScan® 來源 10.0.2 版安裝至全新系統以在連線模式中使用時,需要 AppScan®Enterprise 10.0.2 版。不支援舊版 AppScan®Enterprise。此外,也須安裝 AppScan Enterprise Server,並同時安裝使用者管理Enterprise Console
  • 從舊版升級至 AppScan® 來源 10.0.2 版時,先前安裝的任何資料庫都受到完整支援,包括配置功能。

  • 當先前安裝已與資料庫進行配置時,如果您執行 AppScan® 來源 10.0.2 版的修復安裝,則必須手動啟動 AppScan Source DB 服務。
  • 如果您升級 AppScan® 來源,其中僅安裝自動化伺服器或用戶端元件,並在稍後執行修復安裝,請更新 'ounce.ozsettings 中的下列內容:
    • name=core_provider value=1
    • name=connect_mode value=false
  • 不支援在 10.0.2 版之前建立的無聲自動安裝程式回應檔。必須建立新的無聲自動安裝程式回應檔,才能與 AppScan® 來源 10.0.2 版搭配使用。

AppScan® 來源 10.0.2 版中接近結束期限或移除的功能

  • AppScan Source 不再支援 IBM 授權,因此再也無法在授權管理程式中配置它們。請參閱如何取得和申請 AppScan Source 產品的授權,取得相關資訊。
  • AppScan® 來源 版本 10.0.2 不再支援 Visual Studio 2010。
  • AppScan® 來源 不再會隨附 SolidDB,並且 SolidDB 的安裝不屬於解決方案的一部分。現已安裝的 SolidDB 會繼續獲得支援。
  • 管理員功能表裡不會再有審核日誌選項。

AppScan® 來源 10.0.1 版的新增功能

HCL® AppScan® 來源 10.0.1 版是 HCL® AppScan® 來源 主要版本 10.0.0 發行之後的第一個修正套件版本。隨著這個版本的發行,AppScan® 團隊距離我們領先業界的安全掃描系列產品定期及頻繁更新的持續發行模型更近一步。

AppScan® 來源 10.0.1 版中加強和新的功能

  • AppScan® 來源 版本 10.0.1 已加強授權功能,包括在使用者介面中針對 HCL 型授權的 Proxy 支援,可以使用不受信任的憑證與本端授權伺服器連線。
  • AppScan® 來源 10.0.1 版引進了 AppScanDelta。此特性可讓使用者執行從指令行進行兩個評量之間的差異比較
  • AppScan® 來源 支援 NetCore 2.1 和 2.2。
  • AppScan® 來源 版本 10.0.1 包含 Scala、Swift、Kotlin 和 ReactJS 語言的支援。如需其他資訊,請參閱系統需求
  • AppScan® 來源 版本 10.0.1 支援 DISA STG v4r10 報告格式。

AppScan® 來源 10.0.1 版中的已知問題

  • 如果您是從 2015 或更舊版本掃描 Visual Studio 專案,掃描可能會失敗,並且顯示要刪除 discoverymanager.exe.config 的訊息。請刪除指定的檔案然後再試一次。如需相關資訊,請參閱這裡

AppScan® 來源交互作業能力 (interoperability)

  • 必須如下所述配置 9.0.3x 版和 10.0.0 版的 AppScan®Enterprise,才能與 AppScan® 來源 10.0.1 交互作業:
    set "allow.newer.source.clients=true" in 
    \Program Files (x86)\IBM\AppScan Enterprise\Liberty\usr\servers\ase\config\asc.properties file

AppScan® 來源 10.0.1 版中接近結束期限或移除的功能

AppScan® 來源 10.0.1 版起,下列功能已接近結束期限。請做好因應規劃。

  • 重要事項!在新版本 AppScan® 中針對 IBM 授權的支援,將會在 2020 年第三季(八月/九月)結束。後續新版本的 AppScan® 產品支援 HCL 授權。如需授權的其他資訊,請參閱啟動軟體。您也可以聯絡 HCL 業務代表或 HCL 支援中心
  • 從 2020 年第三季(八月/九月)開始,SolidDB 不會再隨著產品更新出貨。現有安裝仍然受到支援。

AppScan® 來源 10.0.0 版的新增功能

HCL® AppScan® 來源 10.0.0 版大幅提升 AppScan® 系列產品背後的技術。為了現在和將來,HCL 已投資於 DevSecOps 市場中的產品,奠定基礎來強化我們領先市場的安全掃描產品。

AppScan® 來源 10.0.0 版中加強和新的功能

  • IBM® Security AppScan® Source 現在是 HCL® AppScan® 來源

    在 2019 年中旬,HCL Technologies 收購 IBM 的 AppScan® 產品系列,包括 AppScan®EnterpriseAppScan® Standard、AppScan® 來源AppScan® on Cloud。所有 AppScan® 產品現在由 HCL Software 所擁有、開發及提升。所有授權、標誌、命名慣例及其他智慧財產權由 HCL 擁有。因此,所有 AppScan® 產品都已更換品牌,以反映此擁有權及其開發和成長階段。

  • 介紹以下產品的 HCL 授權: HCL® AppScan® 來源

    從 IBM 移轉到 HCL 的過程中,HCL 針對 AppScan® 產品系列,引進 HCL 核心授權套件。AppScan®AppScan® Standard 及 AppScan® 來源 使用本端 FlexLM 授權伺服器、透過 Proxy 伺服器鑑別;AppScan® on Cloud 採用 Okta 領先市場的客戶身分存取管理 (CAIM) 系統。

  • AppScan® 來源 現在支援 Go 程式設計語言 (Golang)。
  • AppScan® 來源 現在於 Visual Studio 2015、2017 和 2019 中支援 C++ 掃描。
  • AppScan® 來源 現在支援 Oracle 19c。
  • 新的資料流掃描功能執行更完整的程式碼分析,產生更多發現項目。
  • 若是具有自訂掃描器的 AppScan® 來源 語言,您在使用 AppScan® 來源 10 版掃描時,可能會在發現項目中看見標示的差異。在掃描已轉換為自訂掃描的狀況中,這可能表示發現項目的減少。自訂掃描器的規則正在發展並定期增添中,且易於增強。
  • 加強與「智慧型程式碼分析 (ICA)」和「智慧型發現項目分析 (IFA)」的整合。

    啟用 ICA/IFA 時,您會看到且可以存取「已排除的發現項目」標籤。如需相關資訊,請參閱AppScan® 來源 文件中的智慧型發現項目分析 (IFA)

    根據預設,所有掃描的 IFA 已啟用。啟用時,會套用到目前掃描與未來掃描。無法將此功能從先前掃描套用到評量。

  • AppScan® 來源 中掃描 .NET 專案(ASP、WEB、Framework、Core),類似於 HCL AppScan on Cloud 中的處理程序。.NET 專案必須先完成編譯,才能掃描,而且在專案內容中必須有正確的建置規格。
  • 15 GB 是安裝 AppScan® 來源 和執行基本掃描所需的最小空間量。但是,所需的磁碟空間隨著要掃描的應用程式而不同。建議至少要有 8 GB 的 RAM 和 15-20 GB 的可用磁碟空間。您也可能需要提高 Windows 分頁檔需求(如需相關資訊,請參閱改善 Windows 10 電腦效能的提示)。
  • 如需系統需求及掃描和外掛程式支援的相關資訊,請參閱系統需求和安裝必備項目或聯絡 HCL 支援中心

其他 AppScan® 來源 10.0.0 版的安裝指示

當安裝 AppScan® 來源 10.0.0 版與 Visual Studio 2019 外掛程式時,安裝顯示順利完成,但是 Visual Studio 2019 外掛程式可能無法正確安裝。

若要在 Visual Studio 2019 中安裝 AppScan® 來源 10.0.0 版外掛程式:

  1. 請確定 HCL® AppScan® 來源 10.0.0 版是安裝在目標系統上。在安裝期間選取 Microsoft Visual Studio 2019 外掛程式。
  2. 如果 AppScan® 來源 10.0.0 之前的版本已安裝至 Visual Studio 2019 的目標執行個體,請如下所示進行解除安裝:
    1. 啟動目標 Visual Studio 2019 實例。
    2. 開啟至 Visual Studio > 延伸模組 > 管理延伸模組
    3. 在「已安裝」標籤上,從清單中選取「AppScan Source 外掛程式」。
    4. 按一下「解除安裝外掛程式」,然後遵循提示完成解除安裝。
  3. HCL® AppScan® 來源 10.0.0 版外掛程式安裝至 Visual Studio 2019 實例,如下所示:
    1. 關閉所有 Visual Studio 2019 實例。
    2. HCL® AppScan® 來源 版本下載網站下載 VS2019Plugin.zip
    3. 將 zip 檔的內容解壓縮至 <AppScan Source Install Dir>(預設位置是 C:\Program Files (x86)\IBM\AppScanSource)。出現提示時,針對所有選項選擇「」。
    4. <AppScan Source Install Dir>/bin 目錄中按兩下 AppScanSrcPlugin.vsix
    5. 在產生的「VSIX 安裝程式」對話框中,選取 Visual Studio <版本> 2019,然後按一下安裝

      根據在機器上安裝的項目,版本可以是 Professional、Enterprise 或 Community。如果可用,您可以選擇安裝一個以上的版本。

    6. 當安裝完成時,請關閉對話框。
    7. 重新啟動 Visual Studio 2019。「AppScan Source 外掛程式」會顯示在「延伸模組」下方。

AppScan® 來源 版本 10.0.0 交互作業能力

HCL® AppScan® 來源 10.0.0 需要 AppScan® 來源 10.0.0 資料庫(SolidDB 或 Oracle):
  • AppScan® 來源 10.0.0 用戶端將無法透過 10.0.0 以前的 AppScan® 來源 資料庫正確地掃描,這是因為資料庫內容與掃描規則相關,造成內容的差異。
  • 同樣的,10.0.0 以前的 AppScan® 來源 用戶端將無法透過 10.0.0 AppScan® 來源 資料庫正確地掃描。
AppScan® 來源 10.0.0 將與 AppScan®Enterprise 9.0.3.x 以前的版本交互作業:
  • 9.0.3.x 版的 AppScan® 來源 無法使用由 AppScan® 來源 10.0.0 資料庫的實例所配置的 AppScan®Enterprise 實例,反之亦然
  • 必須如下所述配置 9.0.3x 版的 AppScan®Enterprise,才能與 AppScan® 來源 10.0.0 交互作業:
    set "allow.newer.source.clients=true" in 
    \Program Files (x86)\IBM\AppScan Enterprise\Liberty\usr\servers\ase\config\asc.properties file

AppScan® 來源 10.0.0 版中的已知問題

本節涵蓋 AppScan® 來源 10.0.0 版的相關資訊、已知限制及因應措施。
  • 不支援下列語言:
    • Arxan C
    • WSDL
  • 在 WebSphere 上,僅支援預設的 JSP 編譯選項。
  • 單一檔案掃描並非適用於所有的語言。
  • 沒有機制可停用 JSP 檔案的前置編譯。JSP 檔案將一律前置編譯。
  • 「停止/取消掃描」在 Linux 系統上不會運作。
  • 當使用指令行介面時,「停止/取消」可能無法在 Windows 系統上運作。如果要解決這個問題,請重新啟動 AppScan® 來源 並且結束背景處理程序。
  • AppScan® 來源 10.0.0 版從 Windows 系統解除安裝時,解除安裝處理程序有時會當機。如需相關資訊,請參閱在 Windows 解除安裝 AppScan 來源 會當機
  • 在升級至 AppScan® 來源 10.0.0 版之後,系統不會產生 PDF 報告。如需相關資訊,請參閱在升級實務範例中,AppScan Source 10.0.0 在 PDF 報告產生期間擲出 「java.lang.reflect.InvocationTargetException」

AppScan® 來源 10.0.0 版中接近結束期限的功能

AppScan® 來源 10.0.0 版起,下列功能已接近結束期限。請做好因應規劃。

AppScan® 來源 10.0.0 版不再支援的功能

  • 不再支援漏洞快取。
  • 不支援增量掃描。
  • 不支援非 CPA 掃描。
  • 從 9.0.3.11 版起,AppScan® 來源 不再支援 macOS 或 iOS Xcode 專案掃描。

    AppScan® 來源 的部分元件為 32 位元。MacOS 10.14 (Mojave) 是支援 32 位元應用程式的最新 Mac 作業系統版本。

    您可以繼續在 Mac OS 10.12(含)以下的作業系統上使用 AppScan® 來源 9.0.3.10 及更早版本。