避免在Veracode中掃描第三方庫

我們最近開始使用Veracode進行漏洞測試。有沒有辦法有選擇地排除所有第三方庫，並只將掃描的焦點集中在我們的內部庫代碼上？避免在Veracode中掃描第三方庫

您是否閱讀過關於veracode的文檔？你發現了什麼？也不排除你使用過的圖書館可能意味着你會得到一個誤報？ –

該文檔對這個沒有幫助。另外，我同意這些庫有影響，但我希望單獨瞭解我們代碼庫的漏洞。 – user6126683

嗨：您的問題的答案取決於您正在掃描的應用程序的語言編寫。

Java：Veracode尊重WAR文件結構約定，並將/ lib目錄中的JAR視爲第三方代碼。如果您訂閱了該服務，但它們包含在軟件組合分析結果中，但我們不會報告駐留在此目錄中代碼中的漏洞。
C/C++/.NET：默認情況下只掃描頂層可執行文件。靜態引擎也將遵循從頂級可執行文件到第三方庫的代碼路徑（如果它們存在），但不會檢查第三方庫的可能部分是否存在缺陷。如果您想要掃描第三方相關庫中的所有可能路徑以查找缺陷，可以進入高級模式並單擊顯示依賴關係。
PHP/JavaScript/Android/iOS /其他語言：無法排除這些語言的第三方庫。

如果您還有其他問題，請聯繫Veracode支持部門，他們可以爲您提供更多幫助。

2016-03-29 13:40:53

謝謝蒂姆，我們的應用程序在.NET中。我可以在Show Dependencies下面去掉第三方DLL – user6126683

回答