appscan安全测试工具-appscan-华克斯

ibm rational appscan 企业版

应用安全测试和风险管理

概述:

应用安全测试和风险管理

ibm 提供了完整的应用程序安全和风险管理解决方案组合。通过---安全测试和管理应用程序风险的平台， ibm rational appscan 投资组合将安全知识和关键集成交付给应用程序生命周期管理， 使企业不仅能够识别漏洞， 而且还可以降低总体应用程序风险。ibm rational appscan 组合包括---的静态 (白盒) 和动态 (黑箱) 分析-以及---的技术， 如玻璃盒测试和运行时分析， 跟上xin的威胁和驱动精que的， 可操作的结果。

产品版本:

appscan 企业版-应用安全测试和风险管理的企业级解决方案， 具有治理、协作和安全智能。

appscan 源码版-通过静态应用程序安全测试 (先) 向 appscan 企业添加源代码分析。

appscan 标准版-用于 it 安全、审核员和渗透测试人员的自动化 web 应用程序安全测试。

appscan 测试版-动态应用安全测试 (dast) 解决方案， 专门设计为将应用程序安全测试集成到 qa 环境中， 并具有合理的经理。

虚拟伪zao codeprofiler 为 appscan 源码版本-扩展 appscan 源版本的静态应用程序安全测试的 sap abap 源代码。

ibm rational appscan 企业版

应用安全测试和风险管理

ibm appscan ---保护闪存

adobe 的 flash ---整个网络， 用于视频和其他类型的多媒体内容。但 flash 也是一种可能---ke---的技术， 这是 ibm 的 rational 单位希望通过新版本的 appscan 应用程序漏洞扫描技术来防止的问题。

新的 appscan 7.8 发行版专门针对来自 web 应用程序的新威胁， 其中许多现在依赖于 flash 和 ajax。

随着网络应用程序在消费者和企业中的---度不断提高， 随着这些应用程序的安全漏洞， 带来了潜在的危险。新的 appscan 发布是在 ibm 的一份报告中提出的， 它声称2008年的所有漏洞---中有将近55% 涉及现成的 web 应用程序。

下一代 web 应用程序正在引入新的问题， 如 flash 的普及使用， ibm rational 的安全和法规遵从性解决方案主管戴维？格兰特告诉 internetnews.com。在过去用于 brochureware 和内容之前， flash 现在被用于业务应用程序。这些新的应用程序正在引入新的漏洞， 黑ke可能会妥协。

appscan 7.8 发布是自2007年11月以来 appscan 产品阵容的第yi个主要更新。ibm 收购了 appscan 产品组合， 这是该年6月收购安全供应商 w---hfire 的一部分。

与 appscan 7.8， 重点是在一系列的 flash 应用程序， 包括 flash 视频文件 (. flv)， 以及 adobe flex 和 adobe air 应用程序运行 flash。

丹尼艾伦， 在 ibm rational 安全研究主任， 补充说，appscan报价， 有应用程序的漏洞， 与来回走在 组织 (actionsc ript 消息格式) 格式--由 flex 用来与后端服务器通信的---协议--可能导致 sql 注入或缓冲区溢出。appscan 7.8 扫描引擎可以扫描 web 应用程序的潜在漏洞和其他 flash 相关的弱点， 以帮助开发人员和安全人员识别和---安全问题。

虽然艾伦声称，appscan安全测试工具， appscan 7.8 将测试任何将运行在 adobe flex， adobe 空气以及内容什么将运行在一个 flash 播放器， 仍然有一个关键的缺失片-真正的 flash 播放器本身。

adobe 经常修补其 flash 播放器应用程序的安全漏洞。但是， 没有使用xin版本的用户仍可能面临安全问题的威胁， 这是 ibm 打算解决的问题。

艾伦说: ibm 的理性是在寻找 flash 应用程序中的跨站点---和类型注入， 而不是看 flash 播放器。

不过， 艾伦还补充说， ibm 正在进行大量的研究， 以确定如何正确地保护应用程序交付的---， 而不仅仅是 flash。

艾伦说: 如果你想到一个在他们的机器上有一个特洛yi---的---，appscan价格， 这个应用程序就会因为那个木马而受到威胁。在服务器端， 存在一个无法控制的真正弱点， 那就是---是否受到了损害。

[机芯: spe---l_report]艾伦承认， 缺乏对---的可见性是一个目前的弱点， 但他说， 在未来两年， 将有更多的关注， 以确定如何---它以及。

作为 web 应用程序和---问题而出现的其他问题之一是 --- 问题。在---攻击中， 黑ke会隐藏另一个---按钮后面的按钮， 这样用户的单击就会产生意外的操作。该操作可能导致信息泄漏丢失， 因为攻击者可能会使用它来获取用户的登录凭据。

目前， 有两种主要的方法来处理从 web 端的---， 每个都依赖于一种称为 framebusting 的技术。该技术可------ (如登录框) 不能从站点中断开并放置到另一个站点的隐藏框架中。有一种 javasc ript-based 的 framebusting 方法，appscan， 同时还有一种方法， 它依赖于名为 x 帧选项的 http 响应报头， 这是微软 ie 8 使用的策略。艾伦声称， appscan 7.8 包括对这两种方法的支持。

随着 appscan 7.8 发布， ibm rational 也推出了一个新的 saas-based 实时生产服务器测试工具， 称为 ibm 的理性 appscan ondemand。艾伦---， ondemand 的产品不会有足够的侵入性， 影响了现场服务器的性能。安全扫描供应商 cenzic 使用 vmware-based 虚拟化对实时服务器进行快照， 并针对快照进行测试， 使用不同的方法进行实时服务器扫描。