首頁(yè) > 新聞資訊 OpenTextTM Fortify WebInspect 是業(yè)界知名的動(dòng)態(tài)應(yīng)用安全測(cè)試（DAST）工具，可識(shí)別已部署的 Web 應(yīng)用及服務(wù)中的應(yīng)用漏洞。
這一自動(dòng)化 DAST 解決方案為客戶(hù)提供全面的漏洞檢測(cè)功能，并能幫助安全專(zhuān)家和 QA 測(cè)試人員快速識(shí)別安全漏洞和配置問(wèn)題。它針對(duì)運(yùn)行中的應(yīng)用模擬真實(shí)的外部安全攻擊，以發(fā)現(xiàn)問(wèn)題并作用于根源分析。WebInspect 擁有超多?REST API 以加速整合，還可以提供直觀、靈活的 UI 管理及百分百的自動(dòng)化功能。此外，它擁有一個(gè)單一、集中式的認(rèn)證定義，無(wú)論涉及靜態(tài)、動(dòng)態(tài)還是從宏中提取令牌（token）。
01 產(chǎn)品特色
功能性應(yīng)用安全測(cè)試（FAST）
不被 IAST 所限制，F(xiàn)AST 是突圍口。FAST 可以執(zhí)行全部的功能測(cè)試，并以 IAST 的方式開(kāi)展這些測(cè)試，完成后也可以保持運(yùn)行。即便功能測(cè)試疏忽了，F(xiàn)AST 也不會(huì)錯(cuò)過(guò)。
黑客級(jí)洞察力
支持查看客戶(hù)端框架和版本號(hào)等——這些如果不更新將成為漏洞。
工作流宏的 HAR 文件
WebInspect 可以使用 HAR 文件進(jìn)行工作流掃描，確保掃描覆蓋全部重要內(nèi)容。
企業(yè)應(yīng)用安全風(fēng)險(xiǎn)管理
監(jiān)控應(yīng)用內(nèi)部趨勢(shì)，首先針對(duì)最關(guān)鍵的漏洞優(yōu)先采取行動(dòng)以滿(mǎn)足 DevOps 需求。
靈活部署
通過(guò)靈活的內(nèi)部部署、SaaS 或“應(yīng)用安全即服務(wù)”，快速啟動(dòng)應(yīng)用并根據(jù)需求擴(kuò)展。
合規(guī)管理
針對(duì)所有與 Web 應(yīng)用安全相關(guān)的主要合規(guī)法規(guī)，預(yù)先內(nèi)置策略及報(bào)告，包括 PCI DSS、DISA STIG、NIST 800-53、ISO 27K、OWASP 和 HIPAA。
橫向擴(kuò)展加速掃描
橫向擴(kuò)展 Kubernetes 以創(chuàng)建微型的 WebInspect，它只專(zhuān)注于處理 JavaScript，使掃描可以并行加速。
掃描任何 API 以提高準(zhǔn)確度
獲取 API 的完整信息，包括 SOAP、Rest、Swagger、OpenAPI、Postman、GraphQL 與?gRPC。
客戶(hù)端軟件構(gòu)成（SCA）
SCA 提供客戶(hù)端庫(kù)的 CVE、開(kāi)源項(xiàng)目的健康數(shù)據(jù)以及可導(dǎo)出的 CycloneDX SBOM。
02 產(chǎn)品亮點(diǎn)
自動(dòng)化與集成
Fortify WebInspect 可以作為完全自動(dòng)化的解決方案運(yùn)行，以滿(mǎn)足 DevOps 和靈活擴(kuò)展的需要，并與 SDLC 集成，而無(wú)需支付額外費(fèi)用。
- REST API 有助于促進(jìn)無(wú)縫集成，以及確保自動(dòng)掃描和檢查符合合規(guī)要求；
- 可利用 OpenTextTM 應(yīng)用生命周期管理（ALM）和?OpenTextTM 質(zhì)量中心（Quality Center）以及其他安全測(cè)試和管理系統(tǒng)預(yù)先構(gòu)建的集成；
- 強(qiáng)大的集成支持團(tuán)隊(duì)復(fù)用歷史腳本和工具，別忘了 WebInspect 可以輕松與所有 Selenium 腳本集成；
- 提供 RESTful Web 服務(wù)掃描：通過(guò) WISwag 命令行工具支持 Swagger 和 OData 格式，使 Fortify WebInspect 能融入任意的?DevOps 管道；
- 強(qiáng)大的基礎(chǔ)設(shè)置：ScanCentral 管理員可預(yù)先配置掃描模板，幫助用戶(hù)掃描其應(yīng)用——而且不需要任何專(zhuān)業(yè)的安全知識(shí)。
03 產(chǎn)品優(yōu)勢(shì)
更快、更早地發(fā)現(xiàn)漏洞
Fortify WebInspect 可以隨時(shí)調(diào)整優(yōu)化您的應(yīng)用，以便在全生命周期（SDLC）中更快、更早地發(fā)現(xiàn)漏洞。它利用代理技術(shù)增強(qiáng)掃描效果，擴(kuò)大對(duì)攻擊面的覆蓋范圍，可檢測(cè)更多的漏洞類(lèi)型。
- Fortify WebInspect Agent 整合了動(dòng)態(tài)測(cè)試和運(yùn)行時(shí)分析，以增強(qiáng)您的發(fā)現(xiàn)，擴(kuò)大攻擊面的覆蓋范圍。它可以抓取更多應(yīng)用以識(shí)別漏洞，相比單獨(dú)的動(dòng)態(tài)測(cè)試能更好地讓漏洞暴露。
Fortify WebInspect?利用先進(jìn)技術(shù)確定優(yōu)先次序：
- 支持運(yùn)行已被策略調(diào)整器改造為高速的自定義策略；
- 支持同時(shí)抓取和審計(jì)；
- 數(shù)據(jù)去重：避免在應(yīng)用的不同部分掃描同一類(lèi)別/功能，減少威脅噪音；
- 如果客服判斷特定應(yīng)用可以自行處理威脅，則避免向特定的檢查類(lèi)型發(fā)送更多指令來(lái)減少攻擊數(shù)。該信息將被加載至 OpenTextTM Fortify Software Security Center (SSC) 并與 OpenTextTM Fortify Static Code Analyzer 掃描結(jié)果配合使用；
- 檢測(cè)冗余頁(yè)面以減少掃描時(shí)間；
- 為開(kāi)發(fā)人員提供代碼行細(xì)節(jié)以及返回的堆棧跟蹤信息，加速修復(fù)漏洞；
- 即使在雙因素認(rèn)證（2FA）環(huán)境中 WebInspect 也會(huì)持續(xù)掃描。
利用自動(dòng)化和代理節(jié)省時(shí)間
- 通過(guò)檢測(cè)冗余頁(yè)面、生成自動(dòng)宏、增量掃描和容器化交付等功能節(jié)省時(shí)間和資源；
- 優(yōu)化掃描過(guò)程，提升速度及準(zhǔn)確性。
抓取現(xiàn)代框架和網(wǎng)絡(luò)技術(shù)
Fortify WebInspect 支持抓取現(xiàn)代框架和網(wǎng)絡(luò)技術(shù)，以涵蓋所有漏洞類(lèi)別并進(jìn)行全面審計(jì)：
- 支持最新網(wǎng)絡(luò)技術(shù)，包括 HTML5、JSON、AJAX、JavaScript、HTTP2 等；
- 測(cè)試“帶外”漏洞或 OAST 上出現(xiàn)的新漏洞?；诠?Fortify OAST 服務(wù)器，WebInspect 可以檢測(cè) OAST 漏洞如 Log4Shell；
- 提供 Single Page Application（SPA）檢測(cè)，支持常見(jiàn)框架如 Angular、AngularJS、React、GWT、Vue、Dojo 和? Backbone；
- 測(cè)試針對(duì)移動(dòng)端優(yōu)化的網(wǎng)站及調(diào)用本地網(wǎng)絡(luò)服務(wù)；
- 提供自動(dòng)宏生成、宏驗(yàn)證和修復(fù)驗(yàn)證等功能，讓小型團(tuán)隊(duì)也能大規(guī)模地檢測(cè)和修復(fù)漏洞；
- 運(yùn)行 Linux 版本的 WebInspect 和 ScanCentral DAST，簡(jiǎn)化與 AWS 、Azure 以及私有 Kubernetes 集群的云優(yōu)先部署。
用 ScanCentral DAST 掌握全企業(yè)的應(yīng)用安全風(fēng)險(xiǎn)（AppSec）
通過(guò) ScanCentral DAST 報(bào)告管理跨越整個(gè)企業(yè)的安全風(fēng)險(xiǎn)，以加速補(bǔ)救漏洞、提效監(jiān)督管理。監(jiān)測(cè)趨勢(shì)并針對(duì)應(yīng)用的漏洞采取行動(dòng)。建立企業(yè)范圍內(nèi)的 AppSec 計(jì)劃，通過(guò)儀表盤(pán)和報(bào)告來(lái)管理和提供風(fēng)險(xiǎn)狀況的透明度，您可以據(jù)此確定具體的補(bǔ)救措施，跟蹤后續(xù)指標(biāo)、趨勢(shì)和進(jìn)度。ScanCentral DAST 可以作為協(xié)調(diào)平臺(tái)來(lái)運(yùn)行數(shù)十萬(wàn)次掃描，讓小型的 AppSec 團(tuán)隊(duì)有能力來(lái)管理整個(gè)組織。
- SCDast 可視化：在 SCDast 中查看和分流 DAST 漏洞；
- 用戶(hù)和域限制：對(duì) DAST 用戶(hù)的集中管理非常復(fù)雜。用戶(hù)和域的限制，允許管理員在用 ScanCentral DAST 自我服務(wù)模式時(shí)制定規(guī)則以確保掃描的質(zhì)量；
- MS SQL 是一個(gè)昂貴的數(shù)據(jù)庫(kù)選項(xiàng)，所以在 PostGresSQL 安裝 ScanCentral DAST 時(shí)提供了另一種選擇，而無(wú)需犧牲速度和質(zhì)量；
- ScanCentral DAST 與 Kubernetes 集成用于擴(kuò)展傳感器，既能節(jié)省成本，又能確保每一次掃描都預(yù)留有足夠的空間；
- ScanCentral DAST 憑證管理：節(jié)省時(shí)間并統(tǒng)一更新所有密碼。
- ScanCentral DAST repo 集成：運(yùn)行時(shí)從存儲(chǔ)庫(kù)中提取掃描配置工件，無(wú)需手動(dòng)更新配置。
（文章來(lái)源公眾號(hào)：MicroFocus）
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
關(guān)于億道電子
上海億道電子技術(shù)有限公司是國(guó)內(nèi)資深的研發(fā)工具軟件提供商，公司成立于2009年，面向中國(guó)廣大的制造業(yè)客戶(hù)提供研發(fā)、設(shè)計(jì)、管理過(guò)程中使用的各種軟件開(kāi)發(fā)工具，致力于幫助客戶(hù)提高研發(fā)管理效率、縮短產(chǎn)品設(shè)計(jì)周期，提升產(chǎn)品可靠性。
十多年來(lái)，先后與ARM、Altium、Ansys、QT、Green Hills、Minitab、EPLAN、QA Systems、OpenText、Visu-IT、HighTec、PLS、Ashling、MSC Software、Autodesk、Source Insight、IncrediBuild、Lauterbach、Adobe、Testplant、TeamEDA等多家全球知名公司建立戰(zhàn)略合作伙伴關(guān)系，并作為他們?cè)谥袊?guó)區(qū)的主要分銷(xiāo)合作伙伴服務(wù)了數(shù)千家中國(guó)本土客戶(hù)，為客戶(hù)提供從芯片級(jí)開(kāi)發(fā)工具、EDA設(shè)計(jì)工具、軟件編譯以及測(cè)試工具、結(jié)構(gòu)設(shè)計(jì)工具、仿真工具、電氣設(shè)計(jì)工具、以及嵌入式GUI工具等等。億道電子憑借多年的經(jīng)驗(yàn)積累，真正的幫助客戶(hù)實(shí)現(xiàn)了讓研發(fā)更簡(jiǎn)單、更可靠、更高效的目標(biāo)。
歡迎關(guān)注“億道電子”公眾號(hào)
了解更多研發(fā)工具軟件知識(shí)
