使用Rational AppScan Tester Edition軟件將安全測

試作為質量管理的一部分

Rational AppScan Tester Edition提供各種功能，幫助QA團

隊在現有的安全管理過程中集成安全測試，appscan 報價，從而減輕了安全

專家的負擔。

由于它集成了現有的測試系統，所以QA專家可以使用

Rational AppScan功能測試腳本、在熟悉的測試環境中執行

安全檢查、促進安全測試的采用以及功能和性能測試。

通過Rational AppScan Developer Edition軟件將安

全測試無縫地嵌入您的開發環境

要在面臨應用安全漏洞時占盡先機，較you效的方法就是編寫

安全的代碼。挑戰在于，大多數開發人員并非安全專家，編

寫高度安全的代碼并非總是他們的優先考慮事項。因而，將

開發納入應用安全流程的較jia方法就是為其提供可在開發環

境中使用的工具，以開發人員能理解的方式生產安全結果。

Rational AppScan Developer Edition設計用于使開發人員

能夠在其開發環境內進行Web應用安全測試，從而使得開發

團隊能夠應對代碼可能造成的大量安全問題、簡化開發生命

周期工作流，并幫助減少發布周期終期可能出現的成本高昂

的安全測試瓶頸問題。

Rational AppScan Developer Edition運用多種分析技術，

以準確查明Web應用中的安全問題，包括靜態代碼分析、動

態分析、運行時分析和IBM正在申請專利的線性分析。

IBM Rational AppScan 企業版

應用安全測試和風險管理

IBM AppScan 瞄準保護閃存

Adobe 的 Flash 遍布整個網絡， 用于視頻和其他類型的多媒體內容。但 Flash 也是一種可能被黑ke濫用的技術， 這是 IBM 的 Rational 單位希望通過新版本的 AppScan 應用程序漏洞掃描技術來防止的問題。

新的 AppScan 7.8 發行版專門針對來自 Web 應用程序的新威脅， 其中許多現在依賴于 Flash 和 AJAX。

隨著網絡應用程序在消費者和企業中的**度不斷提高， 隨著這些應用程序的安全漏洞， 帶來了潛在的危險。新的 AppScan 發布是在 IBM 的一份報告中提出的， 它聲稱2008年的所有漏洞披露中有將近55% 涉及現成的 Web 應用程序。

'下一代 Web 應用程序正在引入新的問題， 如 Flash 的普及使用，' IBM Rational 的安全和法規遵從性解決方案主管戴維？格蘭特告訴 。'在過去用于 brochureware 和內容之前， Flash 現在被用于業務應用程序。這些新的應用程序正在引入新的漏洞， 黑ke可能會妥協。

AppScan 7.8 發布是自2007年11月以來 AppScan 產品陣容的*yi個主要更新。IBM 收購了 AppScan 產品組合， 這是該年6月收購安全供應商 Watchfire 的一部分。

與 AppScan 7.8， 重點是在一系列的 flash 應用程序， 包括 flash 視頻文件 (. flv)，appscan ， 以及 adobe Flex 和 adobe air 應用程序運行 flash。

丹尼艾倫， 在 IBM Rational 安全研究主任， 補充說， 有應用程序的漏洞， 與來回走在 '組織' (ActionScript 消息格式) 格式--由 Flex 用來與后端服務器通信的核心協議--可能導致 SQL 注入或緩沖區溢出。AppScan 7.8 掃描引擎可以掃描 Web 應用程序的潛在漏洞和其他 Flash 相關的弱點， 以幫助開發人員和安全專業人員識別和緩解安全問題。

雖然艾倫聲稱， AppScan 7.8 將測試任何將運行在 adobe Flex， adobe 空氣以及內容什么將運行在一個 flash 播放器， 仍然有一個關鍵的缺失片-真正的 flash 播放器本身。

Adobe 經常修補其 Flash 播放器應用程序的安全漏洞。但是， 沒有使用較xin版本的用戶仍可能面臨安全問題的威脅， 這是 IBM 打算解決的問題。

艾倫說: 'IBM 的理性是在尋找 flash 應用程序中的跨站點腳本和類型注入， 而不是看 flash 播放器。

不過， 艾倫還補充說， IBM 正在進行大量的研究， 以確定如何正確地保護應用程序交付的客戶端， 而不僅僅是 Flash。

艾倫說: '如果你想到一個在他們的機器上有一個特洛yi木馬程序的客戶端， 這個應用程序就會因為那個木馬而受到威脅。'在服務器端， 存在一個無法控制的真正弱點， 那就是客戶端是否受到了損害。

[機芯: Special_Report]艾倫承認， 缺乏對客戶端的可見性是一個目前的弱點， 但他說， 在未來兩年，appscan 技術支持， 將有更多的關注， 以確定如何確保它以及。

作為 Web 應用程序和客戶端問題而出現的其他問題之一是 '劫持' 問題。在劫持攻擊中， 黑ke會隱藏另一個合法按鈕后面的按鈕， 這樣用戶的單擊就會產生意外的操作。該操作可能導致信息泄漏丟失， 因為攻擊者可能會使用它來獲取用戶的登錄憑據。

目前， 有兩種主要的方法來處理從 Web 端的劫持， 每個都依賴于一種稱為 'framebusting' 的技術。該技術可確保敏感內容 (如登錄框) 不能從站點中斷開并放置到另一個站點的隱藏框架中。有一種 JavaScript-based 的 framebusting 方法， 同時還有一種方法， 它依賴于名為 X 幀選項的 HTTP 響應報頭， 這是微軟 IE 8 使用的策略。艾倫聲稱， AppScan 7.8 包括對這兩種方法的支持。

隨著 AppScan 7.8 發布， ibm rational 也推出了一個新的 SaaS-based 實時生產服務器測試工具， 稱為 ibm 的理性 AppScan OnDemand。艾倫指出， OnDemand 的產品不會有足夠的侵入性， 影響了現場服務器的性能。安全掃描供應商 Cenzic 使用 VMware-based 虛擬化對實時服務器進行快照， 并針對快照進行測試， 使用不同的方法進行實時服務器掃描。

IBM 安全 AppScan

標準

可自定義的產品擴展以更好地控制 web

漏洞測試

自動化安全測試的易用性

解釋所有已查明的問題和補救指南

**過40個現成的法規遵從性報告

用精que的方法實現成本節約，

自動掃描

IBM 安全 AppScan 標準軟件可以顯著地幫助

減少與手動漏洞測試相關的成本。

是否將漏洞測試外包或執行

手動在內部， IBM 安全 AppScan 標準軟件

可以幫助減少執行全mian

應用程序的漏洞評估。這可以幫助您

持續評估您的 web 安全態勢， 如

反對季度或年度審計， 以幫助加強安全性

水平和降低成本。

專利的 IBM 安全 AppScan 標準軟件掃描

引擎的設計是為了提供高水平的掃描精度

并限制誤報。為了進一步提高精que度和性能，

它包括一個自適應測試過程， 智能地

模仿人的邏輯，appscan 正版軟件， 以適應測試階段的個人

應用程序.IBM 安全 AppScan 標準軟件學習

應用程序降低到每個特定參數的級別， 并

調整以僅執行相關的測試。來幫助

確保保護免受較xin威脅， IBM 安全

AppScan 標準軟件檢查攻擊規則更新

從 IBM 安全研究專家小組每次

軟件啟動。

appscan 正版軟件-appscan -華克斯(查看)由蘇州華克斯信息科技有限公司提供。蘇州華克斯信息科技有限公司（）位于蘇州工業園區新平街388號。在市場經濟的浪潮中拼博和發展，目前華克斯在行業專用軟件中享有良好的聲譽。華克斯取得全網商盟認證，標志著我們的服務和管理水平達到了一個新的高度。華克斯全體員工愿與各界有識之士共同發展，共創美好未來。

蘇州華克斯信息科技有限公司是一家從事高新軟件技術公司，公司業務范圍包括：1、提供網絡安全,終端安全(EDR)CarbonBlack,APT入侵檢測FireEye等整體解決方案及服務和實施.2、提供國內外軟件自動化測試工具產品，如性能測試Loadrunner、功能測試UFT（QTP）、安全測試Fortify/Webinspect/Checkmarx等.3、提供國內外**的EDR產品，如CarbonBlack、LookingGlass等.4、提供軟件自動化測試培訓服務5、提供國內外**的軟硬件及集成服務。公司現有以博士、碩士為骨干，并擁有多年軟件測試開發專業背景和豐富項目經驗的技術隊伍，還聘請教授和*為顧問，向廣大客戶提供較1佳的解決方案和高質量的技術服務。公司一貫堅持為客戶提供“新技術和高質量服務”的宗旨，已為中國的企業、研究機構和大學引進集成了大量軟硬件產品，并提供了滿意的服務，贏得了廣泛的**和良好的信譽。迄今，公司的業務已遍及電信、金融、教育、汽車、科研院所、電力、等行業。公司矢志于成為企業在產品研發過程中為之提供**的軟硬件產品和高附加值的工程咨詢服務的戰略合作伙伴和供應商。公司致力于向企業客戶提供一站式企業級軟件采購、企業信息化基礎架構、信息安全、信息技術等解決方案。在此基礎上，華克斯信息科技還向客戶提供專業可靠的規劃設計、實施部署、運行維護、升級遷移等信息技術服務。幫助客戶建立和優化信息系統、**其可靠持續運行并提高企業員工的工作效率，從而提升信息系統的**，進而為客戶節省人力、時間和財務成本、提升質量并促進創新，以快速獲得市場競爭優勢，是華克斯信息科技的一貫宗旨。華克斯信息科技目前已與眾多的國內外**軟件廠商實現了各方位的緊密合作，擁有豐富的軟件產品線和解決方案，目前已成為國內領1先的軟件解決方案、服務和培訓的供應商，同時也是****的軟件廠商如HP在國內較1大的合作伙伴之一。華克斯信息科技秉承“以客戶為中心”的經營理念，在不斷豐富產品線和提高服務能力的同時，一直積極進行區域拓展，以便為客戶提供較好的本地服務。