HCL AppScan เพิ่งเปิดตัว HCL AppScan Source 10.0.8 ในบล็อกนี้ ฉันเน้นถึงแอปรุ่นใหม่บางรุ่นสำหรับ AppScan V.10.0.8 ตามสายผลิตภัณฑ์
มีอะไรใหม่ใน HCL AppScan® Source 10.0.8
อินเทอร์เฟซบรรทัดคำสั่ง AppScan® Source (CLI) ได้รับการจัดคอนเทนเนอร์ ซึ่งช่วยให้แอปพลิเคชันและการสแกนความปลอดภัยมีประสิทธิภาพและแข็งแกร่งยิ่งขึ้น เมื่อติดตั้งและกำหนดค่าแล้ว สามารถสร้างสภาพแวดล้อมการทดสอบได้ตามความต้องการและรวดเร็ว และสามารถเรียกใช้การสแกนพร้อมกันได้
AppScan® Source มี ยูทิลิตี ตัวจัดการใบอนุญาตที่ใช้สำหรับการโหลดและอัปเดตข้อมูลใบอนุญาตบนเครื่องไคลเอ็นต์ของคุณ
การปรับปรุง V10.0.8 สำหรับแหล่งที่มาของ AppScan มีดังต่อไปนี้:
- AppScan® Source รองรับTerraform
- รองรับรายงานต่อไปนี้:
- รองรับตัวกรองรายงานต่อไปนี้:
- อัปเดตไอคอนและหน้าจอสแปลชเพื่อใช้โลโก้ผลิตภัณฑ์ใหม่
การแก้ไข APAR ใน AppScan® Source เวอร์ชัน 10.0.8
- รายงานโปรไฟล์ความปลอดภัยใช้เมทริกจากโปรเจ็กต์แรกในการประเมินหลายโปรเจ็กต์ CQPAR00237855
- AppScan® Source for Analysis สร้างไฟล์ .dmp ในโฟลเดอร์ temp สำหรับการสแกน DFA, KB0096327
- AppScan®delta.sh ไม่รู้จักเส้นทางของระบบไฟล์หากมีช่องว่างบน Linux,KB0097634
- โครงการ Net Assembly ล้มเหลวในกรณีที่ไม่ได้ติดตั้ง Visual Studio บนเครื่อง KB0097692
คุณสมบัติที่ลดลง
- OWASP Top 10 2013 รายงาน
มีอะไรใหม่ใน HCL AppScan® Standard 10.0.8
การสแกน API อัตโนมัติโดยใช้ไฟล์ Postman Collection ที่นำเข้า HCL AppScan เรียกใช้ขั้นตอนสำรวจของตัวเองโดยใช้คอลเล็กชันและแสดงข้อมูลผลลัพธ์ในมุมมองแดชบอร์ดและข้อมูล คุณเลือกได้ว่าจะให้ AppScan ดำเนินการต่อโดยอัตโนมัติไปยังขั้นตอนการทดสอบ เพื่อทำการสแกนให้เสร็จสิ้น หรือว่าคุณต้องการเริ่มขั้นตอนการทดสอบในภายหลัง
การปรับปรุง V10.0.8 สำหรับ AppScan Standard มีดังต่อไปนี้:
- ใหม่: OWASP API Security Top 10 2019 รายงานมาตรฐานอุตสาหกรรม
- ปรับปรุงฟังก์ชันการอัพเดทอัตโนมัติ
- อัปเดตความปลอดภัย:
- attSpringRemoteCommandExecution – การดำเนินการคำสั่งระยะไกลบน Spring Framework (CVE-2022-22965)
- probeSpring – สปริงโพรบ RCE (CVE-2022-22965)
การแก้ไข APAR ใน AppScan® Standard เวอร์ชัน 10.0.8
APAR ที่แก้ไขแล้วและการอัปเดตความปลอดภัยที่รวมอยู่ในฟิกซ์แพ็กนี้แสดงอยู่ ที่นี่
มีอะไรใหม่ใน HCL AppScan® Enterprise 10.0.8
การปรับปรุง V10.0.8 สำหรับ AppScan Enterprise มีดังต่อไปนี้:
- การสแกน API อัตโนมัติโดยใช้ Postman Collection ดู วิธีการสแกนโดยใช้ Postman Collection
- ใหม่ OWASP API Security Top 10 2019 รายงานมาตรฐานอุตสาหกรรม
- การควบคุมการเข้าถึงแบบละเอียดเพื่อจำกัดการปรับเปลี่ยนค่าความรุนแรงและแอตทริบิวต์ CVSS
- สิทธิ์ db_owner ไม่จำเป็นสำหรับการกำหนดค่าและรัน AppScan® Enterprise ต้องมีการอนุญาต ddladmin, datawriter และ datareader ขั้นต่ำเท่านั้น
- บันทึกกิจกรรมบนคอนโซลการดูแลระบบมีอยู่ในรหัสแสดงตัวอย่างเทคโนโลยี
- รองรับเบราว์เซอร์ Microsoft Edge
การแก้ไขและการอัปเดตความปลอดภัยใน AppScan® Enterprise เวอร์ชัน 10.0.8
กฎความปลอดภัยใหม่ในรุ่นนี้ประกอบด้วย:
- attSpringRemoteCommandExecution – การดำเนินการคำสั่งระยะไกลบน Spring Framework (CVE-2022-22965)
- probeSpring – สปริงโพรบ RCE (CVE-2022-22965)
การแก้ไขอื่นๆ:
- ตัวเลือกที่ให้ไว้ในวิซาร์ดการกำหนดค่าเพื่อยกเลิกโหมดการกู้คืนอย่างง่ายสำหรับฐานข้อมูลเซิร์ฟเวอร์ SQL
- ในบางกรณี AppScan® Enterprise ใช้ TLS เวอร์ชันที่ต่ำกว่า การแก้ไขที่ใช้กับ TLS 1.2 (เมื่อเปิดใช้งานบนระบบ) สำหรับการสื่อสารภายในทั้งหมด
รายการแก้ไข อัปเดต และ RFE ทั้งหมดในรุ่นนี้แสดงอยู่ ที่นี่
นำออกในรุ่นนี้
- รองรับเบราว์เซอร์ Internet Explorer (IE) สำหรับ v8.0 และ v9.0
การเปลี่ยนแปลงที่จะเกิดขึ้น
สิ่งต่อไปนี้จะถูกลบออกในรุ่นต่อๆ ไป:
- นโยบายการทดสอบ Web Services, The Vital Few, Developer Essentials จะถูกลบออก เนื่องจากขณะนี้สามารถบรรลุผลลัพธ์ที่คล้ายกันได้โดยใช้นโยบายอื่นๆ สำหรับข้อมูลเพิ่มเติม โปรดดูที่ นโยบายการทดสอบ ที่กำหนดไว้ ล่วงหน้า
- การสนับสนุนเบราว์เซอร์ Internet Explorer (IE) สำหรับ v10.0 และ v11.0 จะถูกลบออก
- คะแนน CVSS 2.0 จะลดลงและแทนที่ด้วย CVSS 3.1
- ความสามารถในการแก้ไขการให้คะแนน CVSS เกี่ยวกับปัญหา
- นำเข้าปัญหาจากรายงาน Mobile Analyzer
