漏洞扫描工具AppScan新版本AppScan 10.8.0 新增功能
AppScan是一款支持支持动态扫描（DAST）、静态扫描（SAST）和交互式扫描（IAST）的软件安全测试工具。基于AppScan的不同套件，可以实现在软件生命全周期中进行安全测试，覆盖多种安全测试场景。
AppScan Standard 是一个动态的应用程序安全测试(DAST)桌面工具，专门为安全专家和渗透性测试人员设计。AppScan可以使用扫描引擎自动抓取目标应用程序并测试漏洞。
AppScan Source 是一个静态应用程序安全测试(SAST)工具。 可以帮助组织在开发过程的早期测试应用程序和API的潜在漏洞。采用安全 左移方法并使用AppScan来创建安全开发框架的客户可以显著地减少补救成本和风险。
AppScan Enterprise是一个可伸缩的应用程序安全测试工具，提供SAST、 DAST、IAST和风险管理功能，帮助企业进行风险和合规性管理。AppScan 帮助安全和开发团队在整个应用程序开发生命周期中进行协作、制定策略并进行测试。
AppScan on Cloud (ASoC) 是一套全面的应用程序安全测试软件，可作为 服务提供，包括SAST、DAST、IAST和SCA。用户可以在不安装任何软件或基础架构的情况下开始扫描应用程序，该解决方案可以用作灵活且可扩展的基于云的平台。
近日，AppScan 发布了最新版本AppScan 10.8.0。在国内目前应用最广泛的是漏洞扫描部分AppScan Standard，本文我们从工具整体更新内容以及AppScan Standard部分更新内容分别展开介绍。
一、AppScan 10.8.0整体更新内容：
1、AppScan 10.8.0 的核心亮点
10.8.0 版本的主要改进集中在三款本地部署解决方案中：HCL AppScan Standard、HCL AppScan Enterprise 和 HCL AppScan Source。这些产品的准确性和效率提升均源于客户反馈与需求，同时体现了我们对产品工程化的持续投入，以应对当前和未来的网络安全威胁。
2、增强的 DevOps 集成与定制化功能
HCL AppScan Standard 和 HCL AppScan Enterprise 现已支持自动导入最新版本的 Postman 集合，并在每次重新扫描时同步更新，确保 API 安全测试始终基于最新数据，无需在 API 修改或新增时重新创建扫描任务。此外，用户还可以编写自定义脚本，以满足特定需求，从而在安全测试中实现更高的灵活性。了解更多详情，请点击此处。
3、My HCLSoftware (MHS)：全新的一站式管理中心
My HCLSoftware (MHS) 是一个全新的、一站式门户，旨在支持客户售后生命周期管理，并成为 HCL AppScan 产品许可管理的核心平台。未来，MHS 将作为所有受支持版本 HCL AppScan 的许可下载与管理中心。该平台旨在提升许可管理的透明度，为客户提供无缝的自助服务体验。
4、自动化与准确性提升
身份验证失败可能导致安全扫描中断，而最新版本的 HCL AppScan Standard 优化了自动登录处理功能，减少了测试受保护应用程序时的中断情况。此外，正则表达式功能经过重新设计，支持自定义模式定义，从而提高了潜在风险识别的准确性，并进一步优化了用户体验。
5、2024 CWE Top 25：关键软件弱点支持
为进一步加强安全测试能力，HCL AppScan Source 10.8.0 新增了对 2024 年 CWE Top 25 最危险软件弱点的支持。这些弱点不仅普遍存在，而且易于被攻击者利用，成为窃取数据、破坏操作或完全控制应用程序的主要目标。此次更新帮助团队从根源上解决漏洞问题，强化安全实践，降低行业与政府相关方的风险。
6、扩展的报告、合规性与安全性功能
HCL AppScan Enterprise 现提供增强的报告功能，支持显示每个漏洞的多个 CWE，帮助团队更高效地优先处理风险。API 响应中的 CVSS 向量评分功能使风险评估更加精准，而新增的活动日志 REST API 则帮助组织跟踪与安全相关的操作。
二、HCL AppScan Standard 10.8.0 中的新增功能
1、基于 HCL MHS 的许可：
升级前需购买 MHS 许可证。
2、自动更新：
新增功能——通过配置 API 密钥以连接 My HCLSoftware (MHS)，自动将新更新应用于 AppScan。
3、定制脚本：
使用 AppScan 的内置 JavaScript 运行时将动态行为添加到 DAST 扫描中。AppScan 可以在发送请求之前或在扫描期间收到响应之后运行定制脚本。将针对每个 HTTP 请求和响应执行该脚本。
重新设计了各项扫描配置的正则表达式对话框，以提高可用性。
恢复了通过“工具”>“选项”> 记录代理访问 AppScan SSL 证书部分的选项。
使用 URL 为 Postman 集合配置扫描时，重新扫描现在将从该 URL 获取更新的 Postman 内容。
增强了 DAST 引擎中的自动登录检测功能。
4、修复和安全更新
此发行版中的新安全规则包括：
1）attAppMetricsDataExposed - 应用程序度量端点已公开
2）attWordPressPluginXSSCVE20237246 - WordPress 插件跨站点脚本编制 CVE20237246
3）attAtlassianConfluenceBrokenAccessCVE202322515 - Atlassian Confluence 访问中断 CVE 2023 22515
4）SriValidation - 验证 SRI 完整性检查
5）CSP 规则 - 重新设计了 CSP 评估，从而可以检测到 17 个新的内容安全性策略问题
6）易受攻击的组件数据库已更新到版本 1.6
5、停止支持
FlexNet Operations 门户 (FNO) 已停用，将不再受支持。
6、即将推出的变更
1）AppScan Standard V10.6.0 和更低版本将在 2025 年 6 月终止支持 (EOS)。建议在该时间之前升级至最新可用版本。
2）Web API 向导 (OpenAPI) 扩展将在 AppScan 的将来版本中被除去。
以上就是漏洞扫描工具AppScan最新版本AppScan 10.8.0 中的新增功能梳理，如需最新版本产品试用，可私信我获取试用码。
（谢绝转载，更多内容可查看我的专栏）