AppScan 最新版本10.4.0版本重要更新介绍

AppScan一款常见的Web 应用安全测试工具，它支持静态、动态、交互式和开源扫描，可以部署在开发生命周期的每个阶段，测试web应用程序、API和移动应用程序，降低安全漏洞带来的风险。近期发布了最新版本AppScan10.4.0，让我们一起来看一下，在AppScan新版本中都有哪些新的变化和改进。

一、AppScan Standard版本（标准版）

1、第三方套件更新

1）添加了基础设施和基本 Gui 来更新易受攻击的组件规则和 Omnia 数据

2）VC 规则版本的版本文件(10.4 的版本是 1.1)，

3）当 AppScan 加载时，它会检查目录 ProgramData\HCL\AppScan Standard\Updates

4）如果那里存在旧版本的VC，则数据将从安装目录复制到更新目录

5）在工具->选项中添加了一个按钮来导入新的 VC更新包，并且还在那里展示了正在使用的当前版本。要获取更新，用户需要从FNO手动下载。

6）正在规划更简单的更新机制

2、MFA-安全问题回复

1）路径：配置>多重身份验证(MFA)

2）新增了一个选项来配置安全问题和答案列表

3）在回放登入期间以及自动探索期间，AppScan 将检测需要安全问题值的字段，并设定正确的答案。

4）使用者可以手动设定需要安全性问题动态值的Web元素的名称/ID。

5）AppScan 支持单一登录回放的单一或多个安全问题。

3、UX 更新-非漏洞

1）路径：主菜单>查看>非漏洞或从左侧导航面板

2）工具栏：变体计数、搜索框和操作按钮

3）变体表：多重选择，带有用于排序和更改列宽的操作和选项型号详情

4、UX 更新-AppScan Connect

为了查看非漏洞表中的详细信息，我们应该更改配置>测试选项>非漏洞下的设置。默认情况下，“保存非漏洞信息”复选框未选中，这意味着在扫描过程中，AppScan 不会保存非漏洞信息，只保存漏洞信息。

5、UX 更新-密度

6、扫描策略更新

7、一般更新

1）合规报告更新

新的合规报告:

[SA] Protection of Personal Information Act (PoPIA),2013.

既有合规报告版本更新:

[US] The Federal Risk and Authorization Management Program (FedRAMP), Revision 5.

[US] DISA's Application Security and Development STIG, V5R2

[US] Federal Information Security Modernization Act (FISMA),2014.

通过 IAST 订阅增强 DAST 扫描准确性和效率。

2）GitHub 存储库上提供了新的扩展:

Import URLs

此扩展允许用户将 URL 列表作为文本文件导入到 AppScan 中。AppScan 将探索这些 URL，就像用户自己手动探索它们一样。

Burp Traffic lmporter

此扩展允许用户将请求集合作为 BURP 文件导入到 AppScan 中。 AppScan 将使用请求来探索该站点，就像用户自己手动探索它一样。

二、AppScan Enterprise版本（企业版）

1、第三方套件更新-自动数据库更新

2、相关默认值修改

内容扫描不再是新扫描的默认选项。默认选项现在是“使用模板的作业”

3、DAST SCA-第三方套件报告与全区设定

添加了新的全局选项，用于启用/禁用内容扫描的易受攻击的第三方组件检测DAST 易受攻击的第三方组件检测。

单击编辑链接后，将添加一个用于编辑全局选项的新页面该选项默认启用。

4、AppScan Enterprise 支援加密的AppScan Activity Recorder 储存—由Activity Recorder 生产的已加密 DAST.CONFIG 档案

1）从该版本开始，加密的活动记录器文件现在与 ASE 兼容。

2）ASE 利用对称 (AES-GCM)和非对称 (RSA-OAEP)机制来解密 dast.config 文件。

3）可以从用户界面(UI) 和 RESTAPI 导入加密的 dast.config 文件。4）内容扫描支持从 API 和 Ul 导入加密的 dast.config 文件。

5）ADAC 作业专门支持通过 API加密文件。登录管理和手动探索页面都支持上传加密的活动记录器文件。

5、合规报告更新。DISA、FISMA、FedRamp，新报告— POPIA report

1）更新-DISA、FISMA、POPIA和FedRamp合规报告

Monitor报告生成对话框

2）更新-DISA、FISMA、POPIA和FedRamp合规报告

DISA pdf报告

3）POPIA pdf报告

4）Monitor tab FedRamp报告

6、ServiceNoW 整合—新API

GET/issues/V2 提供 CVEId， CWEId，FixRecommendation及 issue Type ID 。优化API GET/issues/{jobId}以提供CVEId 及 CWEId。

7、新增访问过的URLs 到AppScan Enterprise 安全性报告

1）“监视器”选项卡中的“导出”页中的选项

2）REST API中的选项:

3）访问安全报告中的URL

8、支援 Microsoft SQL Server 2022 Standard and Enterprise 版本。

已停止支持Windows Server 2012及Windows Server 2012 R2

以上就是AppScan 最新版本AppScan10.4.0中，AppScan Standard和AppScan Enterprise的一些新变化，如需AppScan产品试用、产品实操培训等，可私信我。

（谢绝转载，更多内容可查看我的专栏）