Réponse aux vulnérabilités des applications Notes de publication

  • Rversion finale: Yokohama
  • Mis à jour 30 janv. 2025
  • 6 minutes de lecture

    • L’application ServiceNow® Réponse aux vulnérabilités des applications réunit la sécurité et l’informatique pour vous permettre de corriger vos vulnérabilités les plus critiques plus rapidement et plus efficacement. Réponse aux vulnérabilités des applications est inclus dans l’application ServiceNow® Réponse aux vulnérabilités . Réponse aux vulnérabilités des applications a été amélioré et mis à jour dans la Yokohama version.

    Réponse aux vulnérabilités des applications points forts de la Yokohama mise en production

    • Surveillez vos demandes et résultats de test de pénétration, ainsi que la progression globale de votre équipe dans l’espace de travail du test de pénétration.
    • Réévaluez le score des risques, les affectations, la date cible de rattrapage, les exceptions et la tâche de rattrapage pour un ensemble spécifique d’éléments vulnérables d’applications dans le Espace de travail du gestionnaire de vulnérabilités.
    • Intégrez à des analyseurs tiers pris en charge pour importer des données de vulnérabilité.
    • Comparez les données liées aux vulnérabilités des applications et déterminez si des vulnérabilités d’application sont détectées dans une application.
    • Hiérarchiser, corriger et gérer les éléments vulnérables des applications (AVIT). Chaque vulnérabilité d’application représente une entrée de vulnérabilité dans Common Weakness Enumeration (CWE) ou dans des bibliothèques tierces.
    • Avec le rôle sn_vul.app_sec_manager, créez manuellement des tâches de rattrapage d’applications dans le Espace de travail du gestionnaire de vulnérabilités.
    • Avec le rôle sn_vul.app_security_champion, créez manuellement des tâches de rattrapage d’applications dans le Espace de travail de remédiation IT.

    Consultez Application Vulnerability Response pour plus d'informations.

    Important :
    Réponse aux vulnérabilités des applications est disponible dans le ServiceNow Store. Pour en savoir plus, reportez-vous à la section « Informations sur l’activation » des présentes notes de version.

    Informations importantes sur la mise à niveau de Réponse aux vulnérabilités des applications vers Yokohama

    Nouveau dans la Yokohama version

    Créer manuellement des tâches de remédiation d’applications dans l’espace de travail du gestionnaire de vulnérabilité
    Avec le rôle sn_vul.app_sec_manager, vous pouvez créer manuellement des tâches de rattrapage d’applications en sélectionnant certains ou tous les enregistrements dans les listes des éléments vulnérables de l’application dans le Espace de travail du gestionnaire de vulnérabilités. Ces enregistrements sont regroupés en une ou plusieurs tâches de rattrapage en fonction des critères de regroupement sélectionnés lors de la création des tâches de rattrapage de l’application.
    Créer manuellement des tâches de remédiation d’applications dans l’espace de travail de remédiation informatique
    Avec le rôle sn_vul.app_security_champion, vous pouvez créer manuellement des tâches de rattrapage d’applications en sélectionnant les enregistrements souhaités dans les listes des éléments vulnérables de l’application dans le Espace de travail de remédiation IT. Ces enregistrements sont regroupés en une ou plusieurs tâches de rattrapage en fonction des critères de regroupement sélectionnés lors de la création des tâches de rattrapage de l’application.
    Espace de travail Test de pénétration

    Surveillez vos demandes et résultats de test d’intrusion, ainsi que la progression globale de votre équipe dans l’espace de travail du test d’intrusion. Classez les tests qui requièrent votre attention, classez les tests qui requièrent votre attention, suivez les résultats et affichez les affectations grâce aux visualisations de données suivantes sur le tableau de bord :

    • Éléments importants.
    • Demandes de test de pénétration critiques et par état.
    • Conclusions rapportées.
    • Progression globale du rattrapage en fonction de l’affectation.
    Améliorations apportées aux demandes d’évaluation de test de pénétration
    Outre Pénétration complète, Ciblé et Nouveau test, les types d’évaluation suivants sont inclus pour les formulaires de demandes d’évaluation de test de pénétration dans l’espace de travail du test de pénétration :
    • Mise en production d’urgence : prend en charge les mises en production d’urgence requises pour les mises à jour logicielles rapides afin de résoudre des problèmes critiques tels que les vulnérabilités de sécurité.
    • Programme Bug Bounty - Récompense les pirates éthiques pour qu’ils trouvent et signalent des vulnérabilités de sécurité.
    • Approbations de mise en production : assurez-vous que toutes les vérifications nécessaires sont effectuées avant de déployer un nouveau logiciel.
    • Examens ponctuels : évaluez des projets spécifiques en dehors des cycles de développement et de mise en production réguliers afin d’évaluer les performances et de mettre en œuvre des améliorations.
    • Intérêt de la direction - Rapport sur l’engagement et le soutien de la haute direction pour les projets critiques au sein de l’organisation.

    Les améliorations apportées aux champs Approbation de mise en production et Notes de mise à jour vous aident à garantir la qualité et la sécurité des résultats de votre test de style.

    Les états suivants ont été ajoutés au champ Approbation de mise en production :
    • Non applicable (par défaut).
    • Approuvé.
    • Refusé.

    Vous pouvez ajouter des détails pour justifier vos approbations de mise en production dans le champ Notes de version.

    Associer des CWE pour la création manuelle d’AVIT à partir des demandes d’évaluation de test de pénétration
    Dans l’onglet Conclusions du test de pénétration des demandes d’évaluation de test de pénétration, vous avez la possibilité d’associer les énumérations de faiblesses courantes (CWE) ou les vulnérabilités et expositions courantes (CVE) dans le champ Vulnérabilité pour les AVIT créés manuellement.
    Créer des demandes de changement dans Réponse aux vulnérabilités des applications
    Les utilisateurs disposant des rôles sn_vul.app_sec_manager et sn_vul.app_sec_champion, ainsi que les utilisateurs disposant du rôle sn_vul.app_developer disposant du rôle ITIL peuvent créer des demandes de changement à partir des tâches de rattrapage dans l’application Réponse aux vulnérabilités des applications . Créez des demandes de changement pour accélérer votre enquête sur les vulnérabilités d’applications (AVIT) qui nécessitent une intervention manuelle.
    • Créez des demandes de changement avec des informations préremplies pour les applications numérisées classifiées en tant qu’éléments de configuration (CI).
    • Le workflow de demande de changement dans Réponse aux vulnérabilités des applications est similaire à celui pris en charge dans Réponse aux vulnérabilités. Pour plus d’informations sur le workflow de demande de Réponse aux vulnérabilités changement, reportez-vous à la section Change management for Vulnerability Response.
    Remarque :
    Les demandes de changement ne sont prises en charge Réponse aux vulnérabilités des applications que si l’application détectée est associée à un élément de configuration (CI). Vous devez définir Product Model (Modèle de produit ) sur false (Faux ) dans la propriété système Use Product Model (Utiliser le modèle de produit) [sn_vul.use_product_model] pour associer une application détectée à un CI.
    Améliorations apportées à la Nomenclature logicielle Espace de travail
    • Vous pouvez supprimer plusieurs enregistrements d’entité BOM et leurs composants connexes avec une modification en bloc à partir de SBOM Nomenclature logicielle SBOM Workspace.
    • Tous les éléments vulnérables de l’application (AVIT) associés à des entités BOM supprimées passent automatiquement à l’état Fermé.
    Afficher les détails du score de risque des éléments vulnérables dans la section Notes de travail
    À partir de la version 25.0.3 de Réponse aux vulnérabilités des applications, la propriété sn_sec_cmn.risk_score_changes_add_worknotes système est inactive par défaut. Si vous l’activez, vous pourrez alors seulement voir tous les changements liés au score des risques d’un élément vulnérable de l’application dans la section Notes de travail. En outre, les notes de travail ne sont mises à jour qu’en cas de changement du score de risque.

    Informations sur l'activation

    Installez Réponse aux vulnérabilités des applications en le demandant à partir de . Réponse aux vulnérabilités des applicationsServiceNow Storeest inclus dans l’applicationRéponse aux vulnérabilités. Les Nomenclature logicielle applications nécessitent un abonnement séparé. Visitez le site Web ServiceNow Store pour découvrir toutes les applications disponibles et pour obtenir des informations sur la procédure à suivre pour soumettre des demandes à la boutique. Pour obtenir des informations sur les notes de publication cumulatives pour toutes les applications publiées, consultez les ServiceNow Store notes de publication relatives à l'historique des versions.