ความสัมพันธ์ของปัญหาอัตโนมัติตอนนี้เป็นส่วนหนึ่งของ HCL AppScan
ข่าวาร

โดยBiew Apaporn - 28/06/2022

แชร์หน้านี้

ไม่มีกระสุนเงินที่สามารถแก้ปัญหาความท้าทายด้านความปลอดภัยของแอปพลิเคชันได้ เทคโนโลยีหลักแต่ละอย่าง (IAST, DAST และ SAST) มีจุดแข็งและจุดอ่อน

Auto Issue Correlation ช่วยให้เราสามารถใช้ประโยชน์จากจุดแข็งของแต่ละเทคโนโลยี ในขณะที่เอาชนะจุดอ่อนด้วยข้อดีของเทคโนโลยีอื่นๆ นอกจากนี้ ความสัมพันธ์ของปัญหาอัตโนมัติยังช่วยปรับปรุงความสามารถ AST ของคุณ ปรับปรุงกระบวนการจัดลำดับความสำคัญของคุณ และลดเวลาและความพยายามในการแก้ไข

ตัวอย่างเช่น:

  • ปรับปรุงปัญหา DAST ด้วยรายละเอียด IAST/SAST
  • จัดลำดับความสำคัญการค้นพบ SAST โดยใช้ความถูกต้องของผลลัพธ์ IAST/DAST
  • ตรวจสอบการแก้ไข SAST จากการอัปเดตสถานะของปัญหา IAST/DAST
  • ลดจำนวนช่องโหว่และงานแก้ไขโดยจัดกลุ่มปัญหาเข้าด้วยกัน

เมื่อเปิดใช้งานความสัมพันธ์ของปัญหาอัตโนมัติแล้ว ความสัมพันธ์จะได้รับการอัปเดตโดยอัตโนมัติทุกครั้งที่พบปัญหา IAST, DAST หรือ SAST ที่เกี่ยวข้อง กลุ่มที่มีอยู่จะได้รับการอัปเดตโดยอัตโนมัติพร้อมกับปัญหาใหม่ และกลุ่มใหม่จะถูกสร้างขึ้นตามความจำเป็น ผู้ใช้ไม่จำเป็นต้องดำเนินการใดๆ

มันทำงานอย่างไร

สหสัมพันธ์ปัญหาอัตโนมัติของ HCL AppScan อิงตามโซลูชัน IAST ของเรา

IAST มีสิทธิ์เข้าถึงแอปพลิเคชันขณะรันไทม์ (เช่น DAST) และสามารถดูซอร์สโค้ดได้ (เช่น SAST) อัลกอริธึมสหสัมพันธ์อัตโนมัติของเราจับคู่ปัญหา IAST กับปัญหา DAST และ SAST โดยจะดึงข้อมูลจากแต่ละประเด็นแล้วใช้ฮิวริสติกที่หลากหลายเพื่อระบุความสัมพันธ์ สิ่งนี้นำการปรับกระบวนการแก้ไขให้เหมาะสมที่สุดไปสู่ระดับใหม่ ดังนั้น การเพิ่ม IAST และ Auto Issue Correlation ลงในคลังแสงของคุณจึงสามารถลดจำนวนปัญหา/จุดอ่อนที่ต้องแก้ไขโดยรวมได้

วิธีใช้งาน

สิ่งที่คุณต้องมีคือมีเซสชัน IAST ที่ใช้งานอยู่ และเปิดใช้งาน Auto Issue Correlation AppScan on Cloud (ASoC) จะสร้างกลุ่มความสัมพันธ์โดยอัตโนมัติและแสดงในแท็บ “กลุ่มสหสัมพันธ์” ใต้ “ปัญหาทั้งหมด” ASoC จะอัปเดตและสร้างกลุ่มใหม่ต่อไปเมื่อมีการเพิ่มปัญหาใหม่ลงในแอปพลิเคชัน

นี่คือตัวอย่างบางส่วน:

แผงควบคุม

เมื่อมีการระบุความสัมพันธ์ จะมีการระบุไว้ในแผนภูมิปัญหาในแดชบอร์ดของแอปพลิเคชัน

แผงควบคุม

หน้ากลุ่มสหสัมพันธ์

คลิกลิงก์ Correlation เพื่อเปิดหน้า Correlation สำหรับแอปพลิเคชัน โดยระบุกลุ่มสหสัมพันธ์ที่มีอยู่

 
หน้ากลุ่มสหสัมพันธ์

ปัญหาในกลุ่ม

คลิกที่กลุ่มเพื่อดูปัญหา

ปัญหาในกลุ่ม

รายละเอียดปัญหา

บานหน้าต่างปัญหาสำหรับปัญหาเฉพาะจะระบุว่าเป็นปัญหาเมื่อใดและ/หรือกลุ่มแก้ไขในส่วน “ที่เกี่ยวข้อง”:

 
รายละเอียดปัญหา

เมื่อเปิดใช้งานความสัมพันธ์ของปัญหาอัตโนมัติแล้ว ความสัมพันธ์จะได้รับการอัปเดตโดยอัตโนมัติทุกครั้งที่พบปัญหา IAST, DAST หรือ SAST ที่เกี่ยวข้อง กลุ่มที่มีอยู่จะได้รับการอัปเดตโดยอัตโนมัติพร้อมกับปัญหาใหม่ และกลุ่มใหม่จะถูกสร้างขึ้นตามความจำเป็น ผู้ใช้ไม่จำเป็นต้องดำเนินการใดๆ

เราทุกคนทราบดีว่าการใช้โค้ดซ้ำเป็นแนวทางปฏิบัติที่ดีที่สุดในการพัฒนาซอฟต์แวร์ อย่างไรก็ตาม นี่ยังหมายความว่าจุดอ่อนเพียงจุดเดียวสามารถสร้างช่องโหว่ด้านความปลอดภัยหลายจุดในแอปได้ แผนภาพด้านล่างแสดงให้เห็นว่าน้ำยาฆ่าเชื้อที่อ่อนแอสามารถทำให้เกิดช่องโหว่ของ SQL Injection หลายรายการได้อย่างไร เนื่องจาก REST API 1 มีเส้นทาง/แหล่งที่มาที่ต่างไปจาก RESP API 2 ช่องโหว่ของช่องโหว่ดังกล่าวจึงไม่เกี่ยวข้องกันในผลการสแกน

พักผ่อน API

ความสัมพันธ์จะรวบรวมช่องโหว่ที่ควรได้รับการแก้ไขเป็นงานเดียว

โปรดสังเกตในตัวอย่างด้านล่างว่ากลุ่มสหสัมพันธ์มีปัญหาที่พบโดยเทคโนโลยีต่างๆ (IAST และ DAST) ของปัญหาประเภทต่างๆ และความร้ายแรงต่างกัน

ต้องขอบคุณ Auto Issue Correlation ทำให้ปัญหาที่หลากหลายซึ่งไม่เคยถูกมองว่าเชื่อมโยงกัน ตอนนี้สามารถแก้ไขได้ด้วยความพยายามในการแก้ไขเพียงครั้งเดียว

การเขียนสคริปต์ข้ามไซต์แบบสะท้อน

Biew Apaporn

เป็นผู้พัฒนาและออกแบบแอพพิลเคชั่นด้วย IBM Domino Designer, Xpage, Javascript, Lotus Script, Bootstrap, CSS, HTML

bigfix_workspace_9notes.jpg
expand_less