スキャン

SaaS版： Contrastプラットフォームにコードをアップロードできる場合は、このスキャン方法を使用します。スキャンを開始するには、Contrast Webインターフェイスを使用します。スキャン結果は、Contrast Webインターフェイスに表示されます。

CLI： CLIコマンドを使用してContrastプラットフォームにコードをアップロードする場合は、このスキャン方法を使用します。スキャン結果は、Contrast Webインターフェイス、またはGitHubやJenkinsなどのインテグレーションで参照できます。

Contrast Scanローカルエンジン： このスキャン方法は、ローカルシステム上のコードに使用できます。Contrastプラットフォームに結果は報告されますが、ローカルシステムのコードがアップロードされることはありません。スキャン結果は、Contrast Webインターフェイス、またはGitHubやJenkinsなどのインテグレーションで参照できます。

Javaバイナリ： JavaのJARファイルやWARファイルがスキャンされます。

Javaバイナリスキャンでは、Webアプリケーション(HTTPトラフィックを処理するアプリケーション)のみをサポートします。

Javaバイナリスキャンでは、ソースコードスキャンよりも対象が絞られます。このスキャンでは、信頼できないソースから取得されたデータが検索されます。ユーザ入力のような信頼できないソースから派生して、サニタイズされずにSQL文のような危険なシンクに到達したデータなどです。セキュリティに関係のないコードについては報告されません。このスキャンでは、スキャンポリシー(例えば、コードに危険な潜在的なシンク呼び出しが含まれているか、呼び出しやエントリポイントから信頼できないデータがアプリケーションに侵入している、など) を使用して、セキュリティに関連するコードが検出されます。

ソースコード： ほとんどの言語のアーティファクトがスキャンされます。

ソースコードスキャンでは、Javaバイナリスキャンよりも広い範囲に焦点が当てられます。ルールセットに基づいて、潜在的な脆弱性がないかコードが検索されます。結果は通常、Javaバイナリスキャンよりも精度が低くなります。