對應用程序中的安全問題列表進行過濾

當應用程序具有很多可發現大量漏洞的掃描時，對預設的問題屬性（例如“問題嚴重性”、“問題類型”或“問題狀態”）使用過濾器可幫助您將列表縮小至更易管理的大小。

關于此任務

可對以下問題屬性進行過濾：

• 標識
• 位置
• 上次更新時間
• 創建日期
• 修訂日期
• 描述
• IssueXML
• 注釋

過程

1. 打開計劃進行分類的第一個應用程序。缺省情況下，問題列表將按嚴重性來分組。問題還可改為按問題類型、狀態或掃描程序來分組。列表的分類過濾器將自動顯示在側邊欄中。

2. 使用添加過濾器字段以進一步優化過濾器列表。例如，要查找易受安全問題影響的 URL，請依次按域和路徑進行過濾。列表會縮減以顯示在該頁面上發現的所有漏洞。如果列表仍然很大，請按問題類型或問題嚴重性進行過濾。

   注： 如果按狀態的過濾器已定制為從視圖隱藏（noise、passed或fixed），那么過濾后的狀態仍將顯示在問題列表中。

3. 要查找特定問題，請在添加過濾器字段中輸入其問題標識數字。這有助于查找在電子郵件、PDF、缺陷跟蹤系統或舊報告中已注明的問題。

4. 要關注于動態分析 (DAST) 或靜態分析 (SAST) 問題，請按發現方法進行過濾。然后，可依次按問題類型和路徑進行過濾。

   1. 單擊各問題的問題標識以打開唯一的 “關于該問題”報告。該報告提供關于此問題的詳細信息以及供 QA 和 Web 開發人員在其修復過程中使用的參考建議。
   2. 按掃描名稱進行過濾以隔離出產生漏洞的應用程序區域。該方法可幫助您查看是否完整覆蓋了應用程序。當應用程序有很多問題或很多掃描時，該方法很有用。然后，按問題類型進行過濾。

5. 要使 SAST 問題列標題可視，從列選擇網格布局菜單中選擇這些列標題。缺省情況下，將隱藏這些列標題，因為必須從 AppScan? Source 導入 SAST 問題。

   1. 要查看 About this Issue 報告的跟蹤選項卡，請依次按源文件和問題標識進行過濾。

   2. 依次按源文件和 API 進行過濾。該過濾器組合將向您顯示 API 以及傳遞到 API 的參數。

   3. 依次按分類和掃描覆蓋范圍結果進行過濾以確定可在 AppScan Source 中掃描配置的哪些區域（例如丟失接收器結果）進行改進，從而實現更好的掃描覆蓋范圍。

      注： 9.0.3.1 iFix2 中的新增功能：缺省情況下，將從視圖過濾出掃描覆蓋范圍結果。要除去缺省值，轉至列表菜單 > 定制視圖并清除掃描覆蓋范圍結果復選框。這會影響在“產品服務組合”選項卡中顯示的公式，因為公式不會在其計算中包含掃描覆蓋范圍結果。

結果

將為每個特定應用程序都保存過濾器。

下一步做什么

對應用程序中的問題進行分類

對應用程序中的問題進行分類

缺省情況下，所有問題都分類為“新的”。可通過查看問題狀態來查看問題分類。如果沒有顯示應用程序的問題，請將安全性掃描與應用程序關聯。否則，必須從“掃描”視圖中的報告管理問題。如果將掃描作業從一個應用程序移至另一個應用程序，那么不會丟失任何問題管理更改。

開始之前

1. 您必須首先具有全局“管理所有應用程序上的問題”許可權，或者具有特定應用程序的“基本/完整”許可權，然后才能對任何其問題進行類選。
2. 如果掃描不與應用程序關聯，請通過“掃描”視圖中的報告來對其問題進行分類（與 9.0.0.1 和更低版本相同）。

Learn more about issue classification：

您可以將誤報或已解決的問題從將來的視圖中排除。使用“問題分類”可將New問題標記為Open、Fixed、In Progress、Passed,或Noise以減少混淆并更好地跟蹤進度。

使用問題類選可執行以下任務：

減少無關的問題，以便能夠專注于真正的問題。

復審問題時，可以將那些無需修復問題分類為noise或包含可能屬于誤報問題的passed. Noise問題。Passed問題要求手動驗證或復審。將問題分類為 noise 或 passed 后，您可以關注其他問題，例如未解決、已重新打開和進行中的問題。open或reopened的問題對總體摘要具有負面影響。

跟蹤修復進度。

您可以通過評估每個new問題并將其分類為open, fixed, in progress, noise,或passed來跟蹤進度。為問題分配狀態可幫助您更好地管理問題數據量。您可以識別并跟蹤要首先修復的問題以及完全不需要修復的問題。

顯示積極結果。

對問題進行分類還有助于在組織分數中顯示積極結果或進度，從而使關鍵的利益相關方了解站點性能的更真實情況。

過程

1. 在應用程序選項卡中，按嚴重性、問題類型、狀態或掃描程序分組并展開您感興趣的類別部分。

2. 針對任何new問題，單擊問題標識 > 編輯屬性以打開“About this Issue”報告。該報告包含關于問題的信息，例如意見和修訂建議。使用該信息可幫助您確定問題是否確實是組織的問題。如果需要則添加注釋，但請注意，注釋無法刪除。

3. 要將問題狀態從new狀態更改為其他值，請執行以下操作：

   1. 在更改問題的狀態或分配該問題進行修復之前，根據您的公司標準驗證該問題是否確實是問題。單擊位置鏈接以在新瀏覽器中打開頁面。通過檢查問題的實時頁面，在網站用戶可能遇到問題時，您可以查看問題的完整上下文。

   2. 如果問題需要額外的關注但您尚未將其指定為待修復，則將其分類為open。

   3. 通過將其分類為in progress來將其分配給某個團隊成員以實施修復。在側邊欄中，單擊進行中以僅顯示這些問題。將 URL 復制到電子郵件中并將其發送給負責修正問題的團隊成員。

   4. 定制問題列表視圖，以便從視圖中隱藏特定狀態的問題：fixed、noise 和 passed。轉至列表菜單 > 定制視圖以進行選擇。然后，在您對處于以下某種狀態的問題進行分類時，它們將從列表中消失，以便您可以繼續關注需要關注的問題。

      注：

      1. 9.0.3.1 iFix2 中的新增功能：缺省情況下，將從視圖過濾出掃描覆蓋范圍結果。要除去缺省值，轉至列表菜單 > 定制視圖并清除掃描覆蓋范圍結果復選框。這會影響在“產品服務組合”選項卡中顯示的公式，因為公式不會在其計算中包含掃描覆蓋范圍結果。
      2. 可通過在“定制視圖”對話框中除去適用過濾器來將問題添加回到列表。
      3. 這些過濾器不會影響應用程序側邊欄中的快速統計計數。
      4. 當您將問題標記為已修復時，日期和時間將記錄在“關于該問題”對話框中。

   5. 修正問題后，再次運行相應的掃描，并重復過程直到所有問題都已分類。

4. 修改問題屬性以添加更多信息。例如，在您從第三方掃描程序導入問題時，某些信息可能不可用，例如，描述或 CVSS 度量。要了解關于修改 CVSS 度量的更多信息，請參閱通過修改問題的 CVSS 分數更改其嚴重性。

   注： 您為此應用程序編輯的任何問題屬性不會影響其他應用程序中的問題（即使問題與另一應用程序相關聯）。

5. 單擊保存屬性，然后關閉對話框。

問題狀態分類和工作流程

問題可分類為new、open、in progress、noise、reopened、passed和fixed。狀態為open、in progress和reopened的問題將出現在應用程序的問題網格中。

新的

缺省情況下，當問題尚未分類時，所有問題（包括從第三方掃描重新導入的問題）都將標記為新的問題。

未解決

可向問題分配已開啟狀態以指示對它進行了分類并確定了它是必須解決的問題。未解決的問題會一直保持打開，直至您更改其狀態或者未再次發現它們為止。

進行中

您將問題指定為進行中，表示有人正在修復問題。標記為in progress的問題將保持該狀態，直到您更改其狀態或者未再次發現它們為止。

已修復

可向問題分配fixed狀態以指示問題已解決。“關于該問題”對話框中將記錄每個問題的日期和時間戳記。掃描不應再次發現標記為fixed的問題。如果在后續掃描中再次發現這些問題，那么其狀態會自動更改為reopened。

無關和已略過

可向問題分配noise或passed狀態以指示問題不相關并且不應再被視為問題。通常會將誤報的問題標記為noise。Passed問題通常因為以下原因而這樣進行標記：主題專家已確定問題雖然存在于站點上，但在當前報告的上下文中不構成問題。例如，當您評估可訪問性準則或規定時，passed狀態很有用。如果問題不再相關，但仍繼續在報告中出現，那么它們可能會使您忽視真實的 Web 站點問題。

標記為noise和passed的問題永遠不會重新開啟。如果在后續掃描中仍然發現這些問題，那么仍會將其標記為noise和passed。

已重新打開

如果問題在先前被分配了已修正狀態，但在下次掃描中重現，那么將自動分類為已重新開啟。當已重新開啟的問題繼續在掃描數據中出現時，它們將無限期地保持已重新開啟狀態。此狀態有助于識別需要進一步調查或者在您的修復過程中必須升級的問題。

工作流程

首次對問題分類

首次掃描應用程序時，識別了 100 個問題。您分析了結果后，確定發現了五個誤報。您將這五個問題標記為無關，從而當再次運行作業時，問題列表中不會顯示這些問題。

您還確定其他 10 個問題符合標準，并且將其標記為已略過，從而當再次掃描應用程序時，這些問題不會顯示在問題列表中。

將問題指定給團隊成員

現在，您有 85 個問題，您將它們指定給不同的開發人員進行修復。您將這 85 個問題標記為進行中，從而在中途停止分析的情況下知道從何處繼續審閱這些問題。您還可以使用in progress狀態來指示正在處理問題。

隨著開發者修復問題并更新應用程序，您可將他們的in progress問題標記為fixed。

多個用戶的問題管理工作流程

由于 Web 開發通常是一項團隊工作，因此在團隊環境中管理問題會變得復雜。當您更新問題狀態時，更改將立即寫入到數據庫；在查看數據的任何其他人都將看到具有新狀態的問題。

如果兩個用戶管理同一問題，那么此問題將由最后一個修改此問題的用戶來更新。例如，如果 Miriam 將問題 A 標記為fixed，但 Omri 稍后將問題 A 標記為noise，那么問題 A 的狀態將為noise。要避免沖突，請制定問題管理計劃，其中規定 Miriam 在星期二執行問題管理任務，而 Omri 在星期四執行這些任務。

結果

您完成問題分類后，可立即看到已做出的狀態更改。

下次掃描應用程序時，可期望以下狀態：

• 如果已將問題標記為已修復，但在后續掃描中發現此問題，那么它將顯示為reopened問題。
• 標記為進行中的問題將仍分類為in progress。
• 新問題將標記為new。