9NOTES

HCL AppScan เพิ่งเปิดตัว HCL AppScan Source 10.0.8 ในบล็อกนี้ ฉันเน้นถึงแอปรุ่นใหม่บางรุ่นสำหรับ AppScan V.10.0.8 ตามสายผลิตภัณฑ์

มีอะไรใหม่ใน HCL AppScan® Source 10.0.8

อินเทอร์เฟซบรรทัดคำสั่ง AppScan® Source (CLI) ได้รับการจัดคอนเทนเนอร์ ซึ่งช่วยให้แอปพลิเคชันและการสแกนความปลอดภัยมีประสิทธิภาพและแข็งแกร่งยิ่งขึ้น เมื่อติดตั้งและกำหนดค่าแล้ว สามารถสร้างสภาพแวดล้อมการทดสอบได้ตามความต้องการและรวดเร็ว และสามารถเรียกใช้การสแกนพร้อมกันได้

AppScan® Source มี ยูทิลิตี ตัวจัดการใบอนุญาตที่ใช้สำหรับการโหลดและอัปเดตข้อมูลใบอนุญาตบนเครื่องไคลเอ็นต์ของคุณ

การปรับปรุง V10.0.8 สำหรับแหล่งที่มาของ AppScan มีดังต่อไปนี้:

• AppScan® Source  รองรับTerraform
• รองรับรายงานต่อไปนี้:
  • OWASP 10 อันดับ API Security 2019รายงาน
  • CWE 2021 รายงาน 25 อันดับแรก
• รองรับตัวกรองรายงานต่อไปนี้:
  • ตัวกรองรายงาน OWASP Top 10 API Security 2019
  • CWE 2021 ตัวกรองรายงาน 25 อันดับแรก
  • ตัวกรองรายงาน OWASP 10 อันดับสูงสุด 2017 และ 2021
• อัปเดตไอคอนและหน้าจอสแปลชเพื่อใช้โลโก้ผลิตภัณฑ์ใหม่

การแก้ไข APAR ใน AppScan® Source เวอร์ชัน 10.0.8

• รายงานโปรไฟล์ความปลอดภัยใช้เมทริกจากโปรเจ็กต์แรกในการประเมินหลายโปรเจ็กต์ CQPAR00237855
• AppScan® Source for Analysis สร้างไฟล์ .dmp ในโฟลเดอร์ temp สำหรับการสแกน DFA, KB0096327
• AppScan®delta.sh ไม่รู้จักเส้นทางของระบบไฟล์หากมีช่องว่างบน Linux,KB0097634
• โครงการ Net Assembly ล้มเหลวในกรณีที่ไม่ได้ติดตั้ง Visual Studio บนเครื่อง KB0097692

คุณสมบัติที่ลดลง

• OWASP Top 10 2013 รายงาน

มีอะไรใหม่ใน HCL AppScan® Standard 10.0.8

การสแกน API อัตโนมัติโดยใช้ไฟล์ Postman Collection ที่นำเข้า HCL AppScan เรียกใช้ขั้นตอนสำรวจของตัวเองโดยใช้คอลเล็กชันและแสดงข้อมูลผลลัพธ์ในมุมมองแดชบอร์ดและข้อมูล คุณเลือกได้ว่าจะให้ AppScan ดำเนินการต่อโดยอัตโนมัติไปยังขั้นตอนการทดสอบ เพื่อทำการสแกนให้เสร็จสิ้น หรือว่าคุณต้องการเริ่มขั้นตอนการทดสอบในภายหลัง

การปรับปรุง V10.0.8 สำหรับ AppScan Standard มีดังต่อไปนี้:

• ใหม่: OWASP API Security Top 10 2019 รายงานมาตรฐานอุตสาหกรรม
• ปรับปรุงฟังก์ชันการอัพเดทอัตโนมัติ
• อัปเดตความปลอดภัย:
  • attSpringRemoteCommandExecution – การดำเนินการคำสั่งระยะไกลบน Spring Framework (CVE-2022-22965)
  • probeSpring – สปริงโพรบ RCE (CVE-2022-22965)

การแก้ไข APAR ใน AppScan® Standard เวอร์ชัน 10.0.8

APAR ที่แก้ไขแล้วและการอัปเดตความปลอดภัยที่รวมอยู่ในฟิกซ์แพ็กนี้แสดงอยู่  ที่นี่

มีอะไรใหม่ใน HCL AppScan® Enterprise 10.0.8

การปรับปรุง V10.0.8 สำหรับ AppScan Enterprise มีดังต่อไปนี้:

• การสแกน API อัตโนมัติโดยใช้ Postman Collection ดู  วิธีการสแกนโดยใช้ Postman Collection
• ใหม่ OWASP API Security Top 10 2019 รายงานมาตรฐานอุตสาหกรรม
• การควบคุมการเข้าถึงแบบละเอียดเพื่อจำกัดการปรับเปลี่ยนค่าความรุนแรงและแอตทริบิวต์ CVSS
• สิทธิ์ db_owner ไม่จำเป็นสำหรับการกำหนดค่าและรัน AppScan® Enterprise ต้องมีการอนุญาต ddladmin, datawriter และ datareader ขั้นต่ำเท่านั้น
• บันทึกกิจกรรมบนคอนโซลการดูแลระบบมีอยู่ในรหัสแสดงตัวอย่างเทคโนโลยี
• รองรับเบราว์เซอร์ Microsoft Edge

การแก้ไขและการอัปเดตความปลอดภัยใน AppScan® Enterprise เวอร์ชัน 10.0.8

กฎความปลอดภัยใหม่ในรุ่นนี้ประกอบด้วย:

• attSpringRemoteCommandExecution – การดำเนินการคำสั่งระยะไกลบน Spring Framework (CVE-2022-22965)
• probeSpring – สปริงโพรบ RCE (CVE-2022-22965)

การแก้ไขอื่นๆ:

• ตัวเลือกที่ให้ไว้ในวิซาร์ดการกำหนดค่าเพื่อยกเลิกโหมดการกู้คืนอย่างง่ายสำหรับฐานข้อมูลเซิร์ฟเวอร์ SQL
• ในบางกรณี AppScan® Enterprise ใช้ TLS เวอร์ชันที่ต่ำกว่า การแก้ไขที่ใช้กับ TLS 1.2 (เมื่อเปิดใช้งานบนระบบ) สำหรับการสื่อสารภายในทั้งหมด

รายการแก้ไข อัปเดต และ RFE ทั้งหมดในรุ่นนี้แสดงอยู่  ที่นี่

นำออกในรุ่นนี้

• รองรับเบราว์เซอร์ Internet Explorer (IE) สำหรับ v8.0 และ v9.0

การเปลี่ยนแปลงที่จะเกิดขึ้น

สิ่งต่อไปนี้จะถูกลบออกในรุ่นต่อๆ ไป:

• นโยบายการทดสอบ Web Services, The Vital Few, Developer Essentials จะถูกลบออก เนื่องจากขณะนี้สามารถบรรลุผลลัพธ์ที่คล้ายกันได้โดยใช้นโยบายอื่นๆ สำหรับข้อมูลเพิ่มเติม โปรดดูที่  นโยบายการทดสอบ ที่กำหนดไว้ ล่วงหน้า
• การสนับสนุนเบราว์เซอร์ Internet Explorer (IE) สำหรับ v10.0 และ v11.0 จะถูกลบออก
• คะแนน CVSS 2.0 จะลดลงและแทนที่ด้วย CVSS 3.1
• ความสามารถในการแก้ไขการให้คะแนน CVSS เกี่ยวกับปัญหา
• นำเข้าปัญหาจากรายงาน Mobile Analyzer