Options d'analyse
Utiliser les outils recommandés de la CASA
Des fichiers de configuration prédéfinis et des images Docker sont fournis pour effectuer rapidement des analyses et des sorties approuvées. Cette option est fortement recommandée et réduit considérablement la probabilité qu'un formulaire CASA soit renvoyé pour non-conformité.
Il vous suffit de suivre les instructions de la CASA AST en fonction des analyses requises pour votre application.
Pour pouvoir prétendre à la validation de niveau 2, vous devez obtenir les résultats suivants:
-
Aucun résultat lié à des énumérations de faiblesses courantes (CWE) avec une forte probabilité d'exploitation
-
Aucun résultat associé aux CWE avec une probabilité moyenne d'exploitation (*uniquement applicable pour la revalidation CASA)
Les conseils OWASP de l'aide-mémoire ASVS peuvent être référencés afin de résoudre les problèmes identifiés.
Utiliser des outils AST personnalisés ou alternatifs
Les développeurs tiers sont autorisés à utiliser n'importe quel outil d'analyse d'applications compatible CWE, à condition que ces outils répondent aux exigences CASA AST pour les tests et les résultats ci-dessous. La liste des options (non exhaustives) est disponible ici.
Les outils AST personnalisés ou alternatifs doivent:
-
Respecte la norme OWASP Benchmark.
-
être configuré pour analyser tous les CWE requis pour votre application ;
-
Fournissez un résultat CWE de réussite/échec dans un fichier lisible par l'ordinateur (par exemple, XML ou CSV) ou PDF
Un mappage complet des combinaisons d'outils CWE et AST requises est disponible dans le modèle de mappage CASA de niveau 2.
Pour pouvoir prétendre à la validation de niveau 2, les résultats doivent être les suivants:
-
aucun résultat lié à des énumérations de faiblesses courantes (CWE) avec une forte probabilité d'exploitation
-
aucun résultat associé aux CWE avec une probabilité moyenne d'exploitation (*uniquement applicable pour la revalidation CASA)
Les conseils OWASP de l'aide-mémoire ASVS peuvent être référencés pour corriger les résultats.