Opciones de escaneo
Usa las herramientas recomendadas para los CASA
Se proporcionan imágenes de Docker y archivos de configuración previamente compilados para realizar análisis y resultados aprobados con rapidez. Esta opción es muy recomendable y reduce en gran medida la probabilidad de que se envíe una solicitud de CASA por incumplimiento.
Solo debes seguir la guía de CASA AST según los análisis que se necesiten para tu aplicación.
Para calificar para la verificación de nivel 2, los resultados deben mostrar lo siguiente:
-
No hay resultados vinculados a enumeraciones de debilidades comunes (CWE) con probabilidad alta de explotación.
-
No hay resultados vinculados a CWE con probabilidad media de explotación (*solo aplicable para la revalidación de CASA).
Se puede consultar la guía de OWASP de la hoja de referencia de ASVS para solucionar problemas.
Usar herramientas de AST personalizadas o alternativas
Los desarrolladores externos pueden usar cualquier herramienta de análisis de apps compatible con CWE, siempre y cuando las herramientas cumplan con los requisitos de CASA AST para las pruebas y los resultados que aparecen a continuación. Aquí puedes encontrar una lista de opciones (no exhaustivas).
Las herramientas de AST personalizadas o alternativas deben cumplir con los siguientes requisitos:
-
Cumple con el estándar OWASP Benchmark
-
Estar configurados para analizar todas las CWE necesarias para su aplicación
-
Proporciona un resultado de CWE aprobado o desaprobado en formato procesable (p.ej., XML, CSV) o PDF
Puedes encontrar una asignación completa de las combinaciones obligatorias de CWE y AST en la plantilla de asignación de nivel 2 de CASA.
A fin de cumplir con los requisitos para la verificación de nivel 2, los resultados deben mostrar lo siguiente:
-
No hay resultados vinculados a enumeraciones de debilidades comunes (CWE) con probabilidad alta de explotación.
-
No hay resultados vinculados a CWE con probabilidad media de explotación (*solo aplicable para la revalidación de CASA).
Se puede consultar la guía de OWASP de la hoja de referencia de ASVS para solucionar problemas.