主页
延伸產品功能
學習如何延伸產品。
HCL® AppScan® Source for Development（Eclipse 外掛程式）
利用 AppScan® Source for Development，您可以在現有的開發環境中作業，且可以對 Java 和 IBM®MobileFirst Platform 專案執行安全漏洞分析。安全分析可讓您精確找出原始碼的漏洞，然後利用 AppScan Source Security 知識庫的補救協助，將它們徹底消除。
視圖和視窗
AppScan® Source for Development 的視圖和視窗提供發現項目的替代呈現方式，它們支援編輯程式碼，可讓您在工作台中導覽資訊。視圖可以單獨出現，也可以在標籤記事本中，與其他視圖堆疊起來。您可以開啟和關閉視圖，以及將它們定置在「工作台」視窗的不同位置，以變更視景或視窗的佈置。
「報告」視圖
「報告」視圖可讓您根據各種測量是否符合軟體安全最佳實務和規章需求的審核報告，來組織掃描結果。
DISA 應用程式安全及開發 STIG 報告
本主題提供「國防資訊系統局 (DISA) 應用程式安全及開發安全技術實作手冊 (STIG)」網站和指引文件的鏈結。

延伸產品功能
學習如何延伸產品。
- 自訂漏洞資料庫和型樣規則
  本節說明如何自訂資料庫，以及將自訂的漏洞及其他常式整合到掃描中。
- 延伸應用程式伺服器匯入架構
  AppScan® 來源可讓您從 Apache Tomcat 及 WebSphere® 應用程式伺服器 Liberty 設定檔匯入 Java™ 應用程式。您可以如本主題所述，延伸應用程式伺服器匯入架構，以便從其他應用程式伺服器匯入 Java 應用程式。
- HCL® AppScan® Source for Development（Eclipse 外掛程式）
  利用 AppScan® Source for Development，您可以在現有的開發環境中作業，且可以對 Java 和 IBM®MobileFirst Platform 專案執行安全漏洞分析。安全分析可讓您精確找出原始碼的漏洞，然後利用 AppScan Source Security 知識庫的補救協助，將它們徹底消除。
  - HCL® MobileFirst Platform Application Scanning
    AppScan® Source for Development 也作為 MobileFirst Platform Application Scanning 提供。利用 MobileFirst Platform Application Scanning，您可以在現有的開發環境中作業，且可以對 IBM®MobileFirst Platform 專案執行安全漏洞分析。安全分析可讓您精確找出原始碼的漏洞，然後利用 AppScan Source Security 知識庫的補救協助，將它們徹底消除。
  - 名詞解釋
  - AppScan® Source for Development 伺服器模式和本端模式
    在具有或沒有 AppScan®Enterprise Server 的情況下都可使用 AppScan Source for Development 外掛程式。在伺服器模式中，您連接至伺服器來執行掃描和存取共用的資料，就像在舊版產品中一樣。在新的本端模式中，AppScan Source for Development 在完全不連接 AppScanEnterprise Server 的情況下執行 - 您將無法存取共用項目，例如過濾器、掃描配置及自訂規則。
  - 建立變數
    如果要開啟先前在 AppScan® Source for Analysis 中基於路徑變數所建立的評量或組合，您應該在開發環境中建立相符的變數。建立變數可確保資料可供多部電腦使用。如果要共用評量資料，您必須定義適當的變數。
  - 配置掃描
    視您要掃描的專案類型以及您要處理的掃描類型而定，您可能必須在執行掃描之前先配置它。例如，您可以將專案配置為使用依預設所設定的 JDK 或 JSP 編譯器以外的編譯器。
  - 一般喜好設定
    一般喜好設定可讓您調整某些 AppScan® Source for Development 預設值，以符合您的個人喜好設定。
  - 一般喜好設定
    一般喜好設定可讓您調整某些 AppScan® Source for Development 預設值，以符合您的個人喜好設定。
  - 掃描
    您可以掃描 Eclipse 或是 Rational® Application Developer for WebSphere® Software (RAD) 工作區、專案或檔案。這包括掃描 Java™（包括 Android）、JavaServer Pages (JSP) 及 IBM®MobileFirst Platform 專案。
  - 開啟及儲存評量
    AppScan® 來源會掃描原始碼的漏洞，並列出發現項目。發現項目是掃描期間所識別的漏洞，掃描結果是評量。您可以從 AppScan Source for Development 或 AppScan Source for Analysis 開啟儲存的評量。掃描之後，您可以將評量儲存在檔案中。之後，您隨時可以重新開啟評量。評量儲存為 filename.ozasmt。
  - 自訂發現項目表格
    除了 AppScan® Source for Analysis 中的「評量差異」視圖之外，在所有含有發現項目的視圖中，您可以只將您想要看到的直欄及直欄次序識別出來，以自訂發現項目表格。每個視圖可以各有不同設定，您也可以將選項套用於所有視圖。如果要自訂直欄次序，請遵循這個作業主題中的步驟。
  - 將所選的發現項目儲存在評量中
  - 搜尋發現項目
    在包含發現項目的多重視圖中，您可以搜尋特定的發現項目。搜尋準則包含組合、程式碼、檔案、專案或漏洞類型。搜尋結果會出現在「搜尋結果」視圖中。
  - 修改發現項目
    已修改的發現項目是漏洞類型、分類、嚴重性有了改變，或擁有註釋的發現項目。「已修改的發現項目」視圖會顯示現行應用程式（因開啟其評量而在作用中的應用程式）的這些發現項目。在「我的評量」視圖（只限 AppScan® Source for Analysis）中，已修改直欄會指出發現項目是否在現行評量中有了改變。
  - 解決安全問題和檢視補救協助
    AppScan® 來源會發出安全錯誤或一般設計缺失的警示，且能夠在解決過程中提供協助。AppScan Source Security 知識庫（以及內部或外部的程式碼編輯器）可以在這個過程中提供協助。
  - 分類及排除項目
    掃描之後，您可能決定某些發現項目與目前的工作無關，在分類掃描結果時，不要它們出現在發現項目表格中。這些排除項目（或已排除的發現項目）不會再出現在「發現項目」視圖中，變更結果會立即更新評量的度量。新增到配置中的過濾器和組合排除項目，只會影響到後續的掃描。
  - 建立及管理過濾器
    AppScan® 來源提供多種建立及使用過濾器的方法。「過濾器編輯器」視圖是建立過濾器的主視圖，它提供一組很健全的規則，您可以手動設定它們，然後將它們儲存在過濾器中。另外，「過濾器編輯器」視圖也提供了已建立過濾器的管理機制，您很容易修改或移除這些過濾器。另外，您也可以利用提供發現項目之圖形表示法的視圖，來過濾發現項目表格，然後在「過濾器編輯器」視圖中儲存這些過濾器。當您建立過濾器時，會更新其他視圖來反映過濾器內容。
  - 支援的註釋和屬性
    掃描期間會處理一些用來裝飾程式碼的註釋或屬性。於掃描期間，當程式碼中發現支援的註釋或屬性時，會利用這項資訊，將裝飾的方法標示為污染的回呼。針對標示為污染回呼的方法，會將其所有引數都視為包含受污染的資料。這會產生更多含有追蹤資料的發現項目。這個說明主題中會列出所支援的註釋和屬性。
  - 使用組合
    組合（發現項目的分組機制）可讓您從 AppScan® Source for Analysis 中，將發現項目的 Snapshot 匯入 AppScan Source for Development 中。將發現項目放入組合之後，您可以利用 AppScan Source for Development 來開啟含有組合的專案、匯入組合，或開啟已儲存的組合檔 (file_name.ozbdl)。
  - AppScan® 來源追蹤
    當使用 AppScan® 來源追蹤時，您可以驗證輸入驗證和編碼是否符合您的軟體安全原則。您可以查看產生輸入/輸出追蹤資料的發現項目，將方法標示為驗證常式和編碼常式、來源或接收槽、回呼，或污染傳播者。
  - 視圖和視窗
    AppScan® Source for Development 的視圖和視窗提供發現項目的替代呈現方式，它們支援編輯程式碼，可讓您在工作台中導覽資訊。視圖可以單獨出現，也可以在標籤記事本中，與其他視圖堆疊起來。您可以開啟和關閉視圖，以及將它們定置在「工作台」視窗的不同位置，以變更視景或視窗的佈置。
    - 「評量摘要」視圖
      「評量摘要」視圖是已開啟之評量的長條圖圖形視圖，會顯示所選發現項目的資訊。
    - 「漏洞矩陣」視圖
      「漏洞矩陣」視圖會顯示掃描所包含之所有應用程式的發現項目總數。修改發現項目會更新矩陣。
    - 「過濾器編輯器」視圖
      在「過濾器編輯器」視圖中，相較於其他 AppScan® 來源視圖，能夠對目前選取的過濾器進行更精細的操作。這個視圖由所有過濾準則組成。
    - 發現項目表格
    - 「發現項目」視圖
      「發現項目」視圖包含評量中各發現項目的資料。您可以利用這個主題所列的參數來將這些發現項目分組。
    - 「已排除的發現項目」視圖
      在「已排除的發現項目」視圖中，只包含已排除的發現項目。已排除的發現項目是您省略不掃描的發現項目。在這個視圖中，您可以搜尋特定的發現項目。這個視圖中的直欄與「發現項目」視圖中的直欄相同。
    - 「已修改的發現項目」視圖
      「已修改的發現項目」視圖包含現行應用程式所有已變更的發現項目。已修改的發現項目是漏洞類型、嚴重性、分類或附註已變更的發現項目。遺失的發現項目（不在目前所開啟之評量中的發現項目）顯示成綠色斜體，無法修改。
    - 「已解決的發現項目」視圖
      「已解決的發現項目」視圖會識別在組合之中，但不在現行評量中的發現項目。將發現項目識別為修正/遺漏的發現項目，是因為已將它解決、移除，或來源檔案未掃描。
    - 「搜尋結果」視圖
      當您搜尋發現項目時，結果會出現在「搜尋結果」視圖中。
    - 「自訂發現項目」視圖
      「自訂發現項目」視圖會顯示目前開啟的評量中，現有的使用者定義發現項目或自訂發現項目。在這個視圖中，您可以建立、刪除和修改現行評量的自訂發現項目。當在「自訂發現項目」視圖中建立自訂發現項目時，新的發現項目會新增到現行評量中，且會更新評量度量。
    - 「報告」視圖
      「報告」視圖可讓您根據各種測量是否符合軟體安全最佳實務和規章需求的審核報告，來組織掃描結果。
      - CWE/SANS Top 25 2011 報告
        CWE/SANS Top 25 2011 報告是根據 2011 CWE/SANS Top 25 Most Dangerous Software Errors（2011 CWE/SANS Top 25 最危險的軟體錯誤）。
      - DISA 應用程式安全及開發 STIG 報告
        本主題提供「國防資訊系統局 (DISA) 應用程式安全及開發安全技術實作手冊 (STIG)」網站和指引文件的鏈結。
      - 「開放式 Web 應用程式安全專案（OWASP）」Top 10 2013、2017 和 2021 報告
        本主題提供「開放式 Web 應用程式安全專案 (OWASP)」網站和指引文件的鏈結。
      - 「開放式 Web 應用程式安全專案 (OWASP)」Mobile Top 10 報告
        本主題提供「開放 Web 應用程式安全專案 (OWASP)」網站和指引文件的鏈結。
      - 付款卡產業資料安全標準 (PCI DSS) 3.2 版報告
      - Software Security Profile 報告
        Software Security Profile 呈現與應用程式安全直接相關的應用程式性質綜合分析。它會提供特定專案軟體中重要安全特性的詳細審核。這份報告可協助您在認證軟體部署之前，進行加密、存取控制、記載和錯誤處理等需求的實作驗證。
    - 「發現項目詳細資料」視圖
      選取發現項目時，隨即會顯示「發現項目詳細資料」視圖，可讓您修改發現項目的內容。使用這個視圖，您可以修改個別的發現項目。
    - 「度量」視圖
      「度量」視圖提供基於每個評量的統計資料，包括掃描的程式碼行數、發現項目總數、V 密度，以及 V/KLoC。
    - 「組合」視圖
      「組合」視圖列出與 AppScan® Source for Development 工作區/應用程式相關聯的所有組合（包括其所包含的任何專案）（已排除的組合以外的任何組合必須先在 AppScan Source for Analysis 中建立）。
    - 「如何修正」檢視畫面
      AppScan® Source Security 知識庫提供關於各漏洞特定環境定義的知識。知識庫告訴您漏洞是什麼、為什麼不安全、如何修正它，以及將來如何加以避免。掃描原始碼之後，知識庫會提供從關鍵應用程式中消除風險所需要的特定資訊。知識庫補救建議會出現在「如何修正」檢視畫面中。掃描之後，知識庫會提供從關鍵應用程式中消除風險所需要的特定資訊。
    - 「追蹤」視圖
      AppScan® 來源會執行輸入/輸出分析，且會識別及顯示這些漏洞。在發現項目清單中，有一個圖示用來識別包含 AppScan 來源追蹤圖的列。
    - 「來源和接收槽」視圖
      「來源和接收槽」視圖可用來檢視基於輸入及輸出追蹤的發現項目。
    - Eclipse 編輯器和 AppScan® 來源
      編輯器會顯示現行專案的原始碼。當在「發現項目」視圖、「問題」視圖或「組合」視圖中導覽至某個錯誤時，在編輯器中，對應的那一行程式碼會畫底線。左側捲軸會出現浮動說明。右側捲軸會出現問題標記，指出程式碼漏洞的位置。
    - 「問題」視圖
      「問題」視圖會顯示程式碼的問題、錯誤和警告。當您按兩下問題、錯誤或警告的圖示時，系統會開啟「Java™ 編輯器」，有問題的程式碼會畫底線。
  - 安裝和使用者資料檔位置
    當您安裝 AppScan® 來源時，使用者資料和配置檔會儲存在安裝目錄之外。
  - CWE 支援
    「一般弱點列舉 (Common Weakness Enumeration, CWE)」是一份業界標準清單，可提供常見的軟體弱點的一般名稱。本主題列出 AppScan® 來源的現行版本中支援的 CWE ID。
  - 智慧型發現項目分析 (IFA)
    瞭解從 AppScan® 來源自動分類和分析發現項目。

DISA 應用程式安全及開發 STIG 報告

本主題提供「國防資訊系統局 (DISA) 應用程式安全及開發安全技術實作手冊 (STIG)」網站和指引文件的鏈結。

HCL® AppScan® 來源支援 DISA STIG v4r10 以及 v5r1 報告格式。

如果要瞭解「DISA 應用程式安全及開發 STIG」，請參閱https://public.cyber.mil/stigs/。