Aplicações e scans

Esta página orienta como organizar aplicações e escolher o tipo correto de scan no XGuardian.

O que é uma aplicação

No XGuardian, uma aplicação é o ativo que será analisado.

Dependendo do tipo de scan, uma aplicação pode representar:

• um código-fonte versionado;
• um serviço ou microsserviço;
• uma aplicação web exposta por URL;
• uma imagem de container;
• um conjunto de arquivos de infraestrutura como código;
• um ativo externo importado por pipeline ou integração.

A listagem de aplicações pode exibir informações de apoio, como tecnologias detectadas, origem, score quando disponível, aplicações externas e status visual de permissão.

Navegação ao abrir uma aplicação

Quando o usuário abre uma aplicação, a documentação segue a mesma lógica de navegação do XGuardian.

Use essa segmentação para localizar rapidamente o que fazer dentro da aplicação aberta, sem misturar cadastro, scan, ownership e regras condicionais em uma única página.

Quando houver controle de consumo por aplicação ou equipe, consulte também Limites de scans por aplicação e equipe.

Como ler a página de Aplicações

Use a página de Aplicações como inventário operacional dos ativos monitorados pela organização.

Score da aplicação

O score da aplicação é calculado com base no último scan executado para aquela aplicação, conforme os dados disponíveis no momento da análise.

Use o score como sinal de priorização, não como decisão isolada. Antes de concluir risco, confirme:

• tipo do último scan;
• data e status da execução;
• severidade dos achados;
• escopo analisado;
• se a aplicação, branch, arquivo ou origem correspondem ao ativo real.

Indicador de malware na aplicação

Quando o último scan da aplicação identifica malware em SCA, a listagem pode exibir um indicador visual de malware junto à aplicação.

Esse indicador serve para sinalizar que aquela aplicação precisa de atenção imediata em supply chain. Ele considera o último scan concluído da aplicação: se um scan posterior finalizado não identificar malware, o alerta histórico não deve continuar marcando a aplicação como malware ativo.

Para investigar, abra a aplicação, acesse os achados relacionados e consulte o relatório SCA. O passo a passo completo está em Malware e Supply Chain.

Como criar uma aplicação

Use este fluxo para cadastrar um novo ativo que será acompanhado ou analisado pelo XGuardian:

1. acesse a aba Aplicações;
2. selecione Criar aplicação;
3. informe o nome da aplicação;
4. preencha a descrição da aplicação;
5. selecione as equipes das quais a aplicação fará parte;
6. revise o vínculo com as equipes antes de salvar.

A associação com equipes define quais grupos poderão visualizar, operar scans e acompanhar resultados da aplicação conforme papéis e permissões configurados na organização.

Regras e restrições de aplicação

Antes de operar uma aplicação, confirme:

• a aplicação pertence à organização correta;
• o nome representa o ativo real que será analisado;
• as equipes vinculadas são responsáveis pela aplicação;
• o usuário possui permissão para visualizar, executar scan ou acompanhar resultados;
• o escopo contratado permite o tipo de análise desejado;
• a aplicação não está sendo usada para analisar outro sistema fora do escopo.

Aplicações sem permissão explícita podem aparecer bloqueadas. Quando isso acontecer, o usuário deve solicitar revisão de vínculo com a equipe responsável, em vez de criar outro ativo duplicado ou tentar contornar a governança.

Modelos de consumo

A disponibilidade de scans depende da contratação da organização.

Como usar cada modelo

• XScan é indicado para análises pontuais ou quando o ativo pode variar entre execuções.
• O modelo por aplicação nomeada é indicado para aplicações ou URLs fixas que serão analisadas repetidamente durante o período contratado.
• Nunca use uma aplicação nomeada para analisar outro ativo sem validação comercial e operacional.

Como escolher o tipo de scan

Referência rápida por scan

Use esta tabela quando precisar decidir rapidamente qual análise executar e o que preparar.

Guia visual: executar um scan na aplicação

Use este fluxo quando a aplicação já estiver cadastrada e você precisar iniciar uma nova análise.

1. Abra a aplicação

Na aba Aplicações, localize a aplicação pelo card, busca ou filtro disponível. Em seguida, abra o detalhe da aplicação.

2. Escolha o tipo de scan

Na tela Novo Scan, selecione o tipo de análise conforme o ativo que será avaliado. Depois, informe um nome claro para o scan, de preferência indicando aplicação, origem, branch, ambiente ou objetivo.

3. Upload manual para SAST ou SCA

Use SAST para análise estática de código e SCA para análise de dependências. Nesse fluxo, envie o projeto em .zip.

O arquivo .zip pode ter até 1GB, conforme disponibilidade e limites aplicáveis ao ambiente. Se o pacote ultrapassar esse limite, reduza arquivos gerados, caches, diretórios de dependências instaladas e artefatos fora do escopo antes de enviar.

Cuidados antes do upload:

• envie a versão correta do código;
• inclua manifestos e arquivos de lock quando o objetivo envolver SCA;
• remova secrets, .env, chaves privadas, dumps e arquivos fora do escopo;
• não misture aplicações diferentes no mesmo pacote.

4. DAST com ou sem autenticação

Use DAST para testar uma URL autorizada de uma aplicação em execução. O fluxo pode ser sem autenticação ou com autenticação, conforme o cenário validado pela organização.

5. Container

Use Container quando o objetivo for analisar vulnerabilidades em uma imagem.

Antes de enviar, confirme que a imagem corresponde ao ativo correto, não contém secrets embutidos e representa a versão que precisa ser analisada.

6. Scan por repositório

Quando GitHub, Bitbucket ou Azure estiverem configurados, o scan pode ser criado a partir de repositório. Esse fluxo evita upload manual e permite selecionar origem, repositório, branch e tipo de análise.

GitHub

Bitbucket

Azure DevOps

Para qualquer origem por repositório, valide:

• a integração está ativa e autorizada;
• o repositório pertence à aplicação correta;
• a branch representa a versão que deve ser analisada;
• o tipo de análise selecionado corresponde ao objetivo do scan;
• o usuário tem permissão para operar a aplicação.

Tipos de scan

SAST

SAST é a análise estática de segurança do código-fonte.

Use para identificar falhas no código sem executar a aplicação, como padrões inseguros, uso incorreto de APIs, exposição de segredos e problemas associados à implementação.

Quando integrações estiverem habilitadas, a entrada também pode vir de repositórios GitHub, Bitbucket ou Azure DevOps, com seleção de projeto, repositório, branch e tipo de análise conforme o fluxo disponível.

SCA

SCA é a análise de composição de software.

Use para identificar vulnerabilidades e riscos associados a dependências, bibliotecas e componentes open source usados pela aplicação.

Após rodar um scan SCA, consulte Achados > Detalhes > Abrir relatório para verificar o EPSS no relatório técnico da vulnerabilidade, quando disponível.

Para melhores resultados, preserve manifestos e arquivos de lock, como package-lock.json, yarn.lock, pom.xml, build.gradle, requirements.txt, poetry.lock, go.sum ou equivalentes do ecossistema analisado.

IaC

IaC é a análise de arquivos de infraestrutura como código.

Use para revisar configurações versionadas, como Terraform, Dockerfile, Kubernetes, YAML e outros arquivos de configuração suportados.

DAST

DAST é a análise dinâmica de segurança de uma aplicação em execução.

Use para testar uma URL autorizada simulando interações e verificações técnicas contra a aplicação publicada em ambiente controlado.

Container

A análise de Container identifica vulnerabilidades nas camadas e pacotes de uma imagem.

SBOM

SBOM é o inventário de componentes de software de uma aplicação.

Use para obter visibilidade sobre bibliotecas, pacotes, versões e componentes que fazem parte do software.

Quando houver integração com ferramentas externas, como Sonatype IQ, resultados em formato estruturado podem alimentar a visão de composição e achados externos da aplicação.

Origens de scan

O XGuardian pode receber scans ou artefatos por diferentes origens, conforme contratação e configuração da organização.

Como executar scan a partir de repositório

Use esse fluxo quando a tela de criação de scan apresentar origens como GitHub, Bitbucket ou Azure.

Passo a passo

1. acesse a aplicação que será analisada;
2. inicie a criação de um novo scan;
3. escolha a origem do código: GitHub, Bitbucket ou Azure;
4. selecione organização, workspace ou projeto;
5. selecione o repositório;
6. selecione a branch;
7. escolha o tipo de análise disponível, como SAST ou SCA;
8. revise aplicação, repositório, branch e tipo de scan;
9. inicie o scan;
10. acompanhe o resultado no histórico da aplicação, relatórios ou Central de Riscos.

O que cada opção significa

Checklist rápido

Antes de iniciar:

• a aplicação correta está selecionada;
• seu usuário tem permissão para operar a aplicação;
• a integração com GitHub, Bitbucket ou Azure está habilitada;
• o repositório pertence ao ativo que será analisado;
• a branch representa a versão correta;
• o tipo de scan está disponível para a organização;
• nenhuma credencial sensível será exposta em evidências, logs ou chamados.

Preparação dos arquivos

Código-fonte .zip

Antes de enviar o código:

• remova arquivos desnecessários;
• confirme que o .zip tem até 1GB;
• preserve manifestos de dependência;
• inclua arquivos de lock quando existirem;
• envie a branch ou versão correta quando o pacote for gerado fora do portal;
• evite enviar segredos, chaves privadas ou credenciais;
• envie uma versão consistente da aplicação;
• não misture aplicações diferentes no mesmo pacote.

Exemplo de pacote adequado:

minha-aplicacao.zip
├── src/
├── package.json
├── package-lock.json
├── Dockerfile
└── README.md

Evite incluir diretórios gerados, caches locais, credenciais, arquivos .env, chaves privadas, dumps de banco ou artefatos que não representem o código analisado.

Container .tar

Antes de enviar a imagem:

• confirme que a imagem corresponde ao container correto;
• use tags ou nomes que ajudem a identificar versão e aplicação;
• evite imagens com segredos embutidos;
• prefira imagens que representem o artefato real a ser publicado.

URL para DAST

Antes de executar DAST:

• confirme autorização para testar a URL;
• escolha o ambiente adequado;
• valide se a aplicação estará disponível durante a janela de scan;
• informe autenticação quando necessário e permitido;
• use usuários de teste e dados não sensíveis;
• proteja tokens de API e revogue credenciais temporárias após o uso quando aplicável;
• valide especificações OpenAPI/exported API antes de usá-las como entrada;
• alinhe restrições com times de rede, segurança e aplicação.

Exemplo de cenário adequado para DAST autenticado:

Boas práticas de execução

• execute scans em pontos relevantes do ciclo de desenvolvimento;
• priorize aplicações críticas;
• use rescans para validar correções;
• integre scans à pipeline quando fizer sentido;
• use a Central de Riscos para consolidar achados vindos de scans e integrações;
• evite alterar escopo de aplicação nomeada sem validação;
• mantenha governança por time e aplicação.

Próximos passos