Veracode策略扫描怎么管理Veracode策略不通过时该怎么调整，核心不是单纯地把扫描任务跑完，而是要让扫出来的结果能跟企业自己定下的安全准入规则对应起来。Veracode官方文档里也提到，policy scan是用来照着安全策略去评估扫描结果的，而sandbox就更适合在开发测试阶段使用，不会影响整个应用的策略合规状态。所以在项目里，一定要分清楚：哪些扫描是拿来做日常验证的，哪些扫描是要放到正式的策略判断上去用的。

在Veracode里，修复建议要怎么去看，修完了以后又该怎么重新验证结果，这是应用安全扫描落地时很常见的问题。Veracode扫描后会把发现项放到结果页里，开发人员可以围着漏洞类型、严重级别、代码位置、数据流路径和修复说明来拿主意怎么改；如果用着IDE插件或Veracode Fix，也可以在开发环境里看修复指导，或者叫它给出建议的代码修法。官方文档也讲了，在IDE插件里能按发现项去查看问题，并用修复指导或Veracode Fix来处理那些缺陷。

在Veracode里头，漏洞的评级要怎么看，还有那些漏洞的优先级，又该照着什么来给它排一排先后，光去盯着页面上那一个严重的等级，是不大够的。Veracode在扫描跑完了以后，会把漏洞的严重程度、它属于哪一类、窝在哪个地方、策略上是个什么状态，这些个信息都给列出来，团队这边真正要做的，是要把这些个信息，跟业务上受不受影响、是不是亮在了外头、修起来麻不麻烦，全搁在一块堆儿去琢磨。官方的数据字典里头也说了，Veracode做静态分析的时候，常用S0到S5来表示严重的程度，S0是那种信息类的，S1是很低的，S2是低，S3是中，S4是高，S5就是很高了。

Veracode动态扫描怎么启动Veracode动态扫描站点认证怎么设置，关键并不是简单地把网址填好就直接去点运行，而是一定要把扫描目标、认证方式、扫描范围和需要排除的规则预先整理妥当。Veracode动态分析也就是常说的DAST，这项功能专门用来扫描Web应用和API当中的安全漏洞，在扫描过程中它会顺着目标URL一路爬取过去，把运行状态下可能暴露出来的那些安全问题逐个识别出来；如果站点还有登录这道限制，那还得提前把认证给配好，否则扫描器能看到的就只有登录之前的那几张公开页面了。

Veracode的静态扫描要怎么去配，扫描规则的那些误报，又该怎么去料理，很多团队是在把这一套安全检查接进流水线了以后，才真真切切地碰到这些事的。Veracode的静态扫描，可不是把源码随便一丢就完事了，往前头看，得去预备好那个要扫的构建包、应用的信息、扫描的策略，还有分支的环境；往后头看，也还得去打理那些扫出来的结果，特别是那种，一眼瞧上去像个问题，可细一琢磨，跟实际的业务场景又对不上号的告警。Upload and Scan能用来把文件传上去，再去跑静态分析，策略扫描和sandbox扫描，也常常被搁在不同的阶段里用。

在Veracode里面，要把团队的权限给分配好，还有当一个人切换了角色以后，却发现自己怎么也看不到应用了，要去处理这种情况，首先就得把“角色的权限”和“团队的可见范围”，这完全是两码事给分清楚，按照文档的说明，团队这个东西，是可以被拿来给用户，去授予能看到哪些应用的访问权限的，一个应用，可以在你刚创建它的时候，就被分配到一个团队里去，也可以在后面，去它的应用详情里面，再调整它到底归哪个团队管；而且呢，一个用户跟团队之间的那种成员关系，它主要是会影响到，像提交者和审核者这一类角色，他们到底能看到哪些应用。

在临近发布、缺陷短期内又修不掉，业务方希望先走风险接受流程的时候，常常会碰到Veracode的缺陷缓解要怎么提交，还有万一交上去的记录审核没通过，又该怎么处理的问题，做缓解这件事，它的目的，并不是要把一个漏洞给硬说成没问题，而是要解释明白，为什么当前这个缺陷，在一种特定的场景底下，它的风险是可以被控制住的，又或者说，是要说明白，已经有了什么样的补偿控制手段，能够去把那个风险给降下来。Veracode的缺陷缓解，通常是在缺陷分诊那个页面里去操作的，那些已经被批准通过的缓解缺陷，会被从策略的状态，还有一部分报告的明细计算里面给移出去，但是，在跟缓解有关的那些页签，或者是附录里面，还是会留着记录的。

给Veracode传代码包这件事，并不是把项目的文件夹随手一压，然后上传就能行的，针对不同的开发语言，还有不同类型的扫描，平台对你要传什么东西上去，那个要求也是不一样的，Veracode的静态分析，通常是在分析那种已经编译好的，像二进制文件或者字节码，这一类的打包产物，而那种“上传并扫描”的模式，它也可以把静态分析和开源组件的分析，给结合到一起去，用它们来综合地评估一个应用的风险，所以，在动手准备这个要上传的代码包之前，要先去看一眼，你的项目到底是个什么类型，然后再来决定，到底是应该把源代码给传上去、还是传构建出来的产物、又或者是源代码，再加上一份依赖的清单。

在Veracode的动态分析里面，对于那种需要先登录进去，才能接着往下访问业务页面的扫描，平台的认证配置是支持好几种方式的，按照官方文档的说法，可以去用自动登录、表单认证、参数认证、OAuth 2验证、SAML验证，还有Selenium的登录脚本，来把认证这一关给搞定，要是碰上的登录流程，是好几个步骤才走得完的，官方也说了，是可以去录一段Selenium的登录操作，再把它给传上去，这样扫描器在要去访问应用的时候，就能自己先去把登录给完成了。

Veracode的安全策略，是用来给应用的安全要求，做一个统一的定义，等到扫描跑完了以后，平台就会按照这个应用绑定的策略，去判断它到底算不算通过了；在策略里面定的那些约束条件，会决定着到底是哪些漏洞、什么严重级别的、还有哪一类的扫描，会去影响到最终的合规结果。