Opciones de análisis
Cómo usar las herramientas recomendadas por CASA
Se proporcionan imágenes de Docker y archivos de configuración compilados previamente para realizar análisis y resultados aprobados con rapidez. Esta opción es muy recomendable y reduce en gran medida la probabilidad de que se devuelva un envío de CASA por incumplimiento.
Solo debes seguir la orientación de AST de CASA según los análisis que se requieren para tu aplicación.
Para calificar para la verificación de nivel 2, los resultados deben mostrar lo siguiente:
-
No hay hallazgos vinculados a enumeraciones de debilidades comunes (CWEs) con una probabilidad alta de explotación.
-
No hay hallazgos vinculados a CWE con una probabilidad media de explotación (*solo se aplica a la revalidación de CASA)
Puedes consultar la guía de OWASP de la hoja de referencia de ASVS para corregir los resultados.
Usa herramientas de AST personalizadas o alternativas
Los desarrolladores externos pueden usar cualquier herramienta de análisis de apps compatible con CWE, siempre que satisfaga los requisitos de la AST de CASA para las pruebas y los resultados que se indican a continuación. Aquí encontrarás una lista de opciones no completas.
Las herramientas de AST personalizadas o alternativas deben cumplir con los siguientes requisitos:
-
Cumple con el estándar de comparativas de OWASP
-
Estar configurada para analizar todas las CWE necesarias para tu aplicación
-
Proporciona un resultado de CWE aprobado o no aprobado en formato legible por máquinas (p. ej., XML, CSV) o en formato PDF
Puedes encontrar una asignación completa de las combinaciones de herramientas de AST y CWE necesarias en la plantilla de asignación de nivel 2 de CASA.
A fin de cumplir con los requisitos para la verificación de nivel 2, los resultados deben mostrar lo siguiente:
-
No hay hallazgos vinculados a enumeraciones de debilidades comunes (CWEs) con una probabilidad alta de explotación.
-
No hay hallazgos vinculados a CWE con una probabilidad media de explotación (*solo se aplica para la revalidación de la CASA).
Se puede consultar la guía de OWASP de la hoja de referencia de ASVS para corregir los resultados.