ไม่มีกระสุนเงินที่สามารถแก้ปัญหาความท้าทายด้านความปลอดภัยของแอปพลิเคชันได้ เทคโนโลยีหลักแต่ละอย่าง (IAST, DAST และ SAST) มีจุดแข็งและจุดอ่อน
Auto Issue Correlation ช่วยให้เราสามารถใช้ประโยชน์จากจุดแข็งของแต่ละเทคโนโลยี ในขณะที่เอาชนะจุดอ่อนด้วยข้อดีของเทคโนโลยีอื่นๆ นอกจากนี้ ความสัมพันธ์ของปัญหาอัตโนมัติยังช่วยปรับปรุงความสามารถ AST ของคุณ ปรับปรุงกระบวนการจัดลำดับความสำคัญของคุณ และลดเวลาและความพยายามในการแก้ไข
ตัวอย่างเช่น:
- ปรับปรุงปัญหา DAST ด้วยรายละเอียด IAST/SAST
- จัดลำดับความสำคัญการค้นพบ SAST โดยใช้ความถูกต้องของผลลัพธ์ IAST/DAST
- ตรวจสอบการแก้ไข SAST จากการอัปเดตสถานะของปัญหา IAST/DAST
- ลดจำนวนช่องโหว่และงานแก้ไขโดยจัดกลุ่มปัญหาเข้าด้วยกัน
เมื่อเปิดใช้งานความสัมพันธ์ของปัญหาอัตโนมัติแล้ว ความสัมพันธ์จะได้รับการอัปเดตโดยอัตโนมัติทุกครั้งที่พบปัญหา IAST, DAST หรือ SAST ที่เกี่ยวข้อง กลุ่มที่มีอยู่จะได้รับการอัปเดตโดยอัตโนมัติพร้อมกับปัญหาใหม่ และกลุ่มใหม่จะถูกสร้างขึ้นตามความจำเป็น ผู้ใช้ไม่จำเป็นต้องดำเนินการใดๆ
มันทำงานอย่างไร
สหสัมพันธ์ปัญหาอัตโนมัติของ HCL AppScan อิงตามโซลูชัน IAST ของเรา
IAST มีสิทธิ์เข้าถึงแอปพลิเคชันขณะรันไทม์ (เช่น DAST) และสามารถดูซอร์สโค้ดได้ (เช่น SAST) อัลกอริธึมสหสัมพันธ์อัตโนมัติของเราจับคู่ปัญหา IAST กับปัญหา DAST และ SAST โดยจะดึงข้อมูลจากแต่ละประเด็นแล้วใช้ฮิวริสติกที่หลากหลายเพื่อระบุความสัมพันธ์ สิ่งนี้นำการปรับกระบวนการแก้ไขให้เหมาะสมที่สุดไปสู่ระดับใหม่ ดังนั้น การเพิ่ม IAST และ Auto Issue Correlation ลงในคลังแสงของคุณจึงสามารถลดจำนวนปัญหา/จุดอ่อนที่ต้องแก้ไขโดยรวมได้
วิธีใช้งาน
สิ่งที่คุณต้องมีคือมีเซสชัน IAST ที่ใช้งานอยู่ และเปิดใช้งาน Auto Issue Correlation AppScan on Cloud (ASoC) จะสร้างกลุ่มความสัมพันธ์โดยอัตโนมัติและแสดงในแท็บ “กลุ่มสหสัมพันธ์” ใต้ “ปัญหาทั้งหมด” ASoC จะอัปเดตและสร้างกลุ่มใหม่ต่อไปเมื่อมีการเพิ่มปัญหาใหม่ลงในแอปพลิเคชัน
นี่คือตัวอย่างบางส่วน:
แผงควบคุม
เมื่อมีการระบุความสัมพันธ์ จะมีการระบุไว้ในแผนภูมิปัญหาในแดชบอร์ดของแอปพลิเคชัน
หน้ากลุ่มสหสัมพันธ์
คลิกลิงก์ Correlation เพื่อเปิดหน้า Correlation สำหรับแอปพลิเคชัน โดยระบุกลุ่มสหสัมพันธ์ที่มีอยู่
ปัญหาในกลุ่ม
คลิกที่กลุ่มเพื่อดูปัญหา
รายละเอียดปัญหา
บานหน้าต่างปัญหาสำหรับปัญหาเฉพาะจะระบุว่าเป็นปัญหาเมื่อใดและ/หรือกลุ่มแก้ไขในส่วน “ที่เกี่ยวข้อง”:
เมื่อเปิดใช้งานความสัมพันธ์ของปัญหาอัตโนมัติแล้ว ความสัมพันธ์จะได้รับการอัปเดตโดยอัตโนมัติทุกครั้งที่พบปัญหา IAST, DAST หรือ SAST ที่เกี่ยวข้อง กลุ่มที่มีอยู่จะได้รับการอัปเดตโดยอัตโนมัติพร้อมกับปัญหาใหม่ และกลุ่มใหม่จะถูกสร้างขึ้นตามความจำเป็น ผู้ใช้ไม่จำเป็นต้องดำเนินการใดๆ
เราทุกคนทราบดีว่าการใช้โค้ดซ้ำเป็นแนวทางปฏิบัติที่ดีที่สุดในการพัฒนาซอฟต์แวร์ อย่างไรก็ตาม นี่ยังหมายความว่าจุดอ่อนเพียงจุดเดียวสามารถสร้างช่องโหว่ด้านความปลอดภัยหลายจุดในแอปได้ แผนภาพด้านล่างแสดงให้เห็นว่าน้ำยาฆ่าเชื้อที่อ่อนแอสามารถทำให้เกิดช่องโหว่ของ SQL Injection หลายรายการได้อย่างไร เนื่องจาก REST API 1 มีเส้นทาง/แหล่งที่มาที่ต่างไปจาก RESP API 2 ช่องโหว่ของช่องโหว่ดังกล่าวจึงไม่เกี่ยวข้องกันในผลการสแกน
ความสัมพันธ์จะรวบรวมช่องโหว่ที่ควรได้รับการแก้ไขเป็นงานเดียว
โปรดสังเกตในตัวอย่างด้านล่างว่ากลุ่มสหสัมพันธ์มีปัญหาที่พบโดยเทคโนโลยีต่างๆ (IAST และ DAST) ของปัญหาประเภทต่างๆ และความร้ายแรงต่างกัน
ต้องขอบคุณ Auto Issue Correlation ทำให้ปัญหาที่หลากหลายซึ่งไม่เคยถูกมองว่าเชื่อมโยงกัน ตอนนี้สามารถแก้ไขได้ด้วยความพยายามในการแก้ไขเพียงครั้งเดียว
