Commencer

Présentation

Ostorlab est un scanner de sécurité et de confidentialité pour les applications mobiles, les applications web et la découverte de la surface d'attaque.

Trois étapes principales

Découvrir et gérer votre infrastructure et vos actifs externes : Détectez des corrélations et trouvez d'autres actifs dont vous ignoriez l'existence.

Scanner les actifs mobiles, web et réseau : Ostorlab couvre les plateformes Android et iOS, le Web et les API Web, ainsi que les scans réseau. Il peut identifier plus de 500 classes de vulnérabilités et 100 000 dépendances obsolètes ou vulnérables. Il s'appuie sur une analyse statique, dynamique et comportementale pour assurer une couverture élevée de la surface d'attaque de l'application et valider les résultats afin de limiter les faux positifs.

Remédier : Toutes les vulnérabilités sont regroupées sous forme de tickets qui peuvent être assignés aux développeurs sur la plateforme ou intégrés à un système de gestion de tickets interne. Vous pouvez corriger la vulnérabilité et laisser Ostorlab vérifier et confirmer les correctifs.

Démarrage

1. Créez un compte ici en utilisant votre adresse e-mail et un mot de passe.

   

2. La page principale est le Tableau de bord (Dashboard). Il s'ouvre sur le Cockpit, qui affiche ce qui requiert votre attention aujourd'hui :

   • Vos tickets ouverts par gravité, les tickets ayant dépassé leur délai de remédiation (SLO), ce qui a changé depuis hier et ce qui a été corrigé.
   • Next actions : les tickets à traiter en priorité, classés par gravité et par SLO.
   • Scan Activity : vos derniers scans.

   

   Actions liste les tickets sur lesquels vous devez travailler, Setup suggère ce qu'il faut configurer ensuite, et vous pouvez créer vos propres tableaux de bord à partir de widgets. Voir Tableau de bord.

3. Pour lancer un scan, cliquez sur New Scan dans la barre supérieure et sélectionnez votre type d'actif.

   

4. Vous devez ensuite sélectionner votre actif en recherchant dans le store, en téléchargeant un fichier, ou simplement en tapant le lien de votre application web ou de votre adresse IP publique.

   

5. Sélectionnez un profil de scan (par exemple Fast Scan ou Full Scan pour les applications mobiles, ou Full Web Scan pour les applications web), puis cliquez sur Start scan pour créer le scan. Consultez Profils de scan pour connaître les profils disponibles. Les étapes facultatives, telles que Extra Context, SBOM Files et Tags, peuvent être ignorées.

6. Vérifiez la progression de votre scan dans Scans, dans la barre supérieure. Un scan est d'abord en file d'attente, puis en cours d'exécution, puis terminé :

   

7. Pendant que le scan est en cours, vous pouvez déjà commencer à accéder aux résultats du scan.

   

8. Vous pouvez cliquer sur n'importe quel résultat pour accéder à des rapports détaillés avec des recommandations, des références et des détails techniques :

   

Les résultats sont regroupés dans la barre latérale de la page du scan :

• Vulnerabilities : Liste des résultats exploitables.
• Tickets : Liste tous les tickets pour l'actif scanné. Il met automatiquement à jour le statut en fonction du scan précédent.
• Libraries & Dependencies : Liste des bibliothèques et frameworks tiers identifiés dans l'application.
• Standards : Liste des problèmes détectés au regard des standards de sécurité.

Les Agentic Deep Scans ajoutent d'autres sections, telles que Risks et Threat Intelligence.

Vous pouvez également générer un rapport PDF depuis le menu PDF. La génération du PDF s'exécute en arrière-plan et vous recevez une notification une fois le rapport prêt.

Tous les scans produisent un ensemble d'artefacts qui varie selon le type de scan. Pour une application mobile, cliquez sur Call Coverage sous Dynamic Analysis sur la page du scan pour les ouvrir.