#dachnug50 | Volt MX & AppScan - Ein sicheres Duo für Ihre Applikationen | Udo Blank

1. Volt MX & AppScan
Ein sicheres Duo für Ihre
Applikationen
Udo Blank – TA DACH
+49 151 2260 7745
udo.blank@hcl.com

2. Inhalt
19.06.2023 Volt MX & AppScan - Ein sicheres Duo für Ihre Applikationen
2
1. Volt MX - Zusammenfassung
2. Security in Volt MX?
3. AppScan on Cloud
4. Demo
5. Q&A

3. .
.
Was ist Volt MX?
Eine branchenführende Multi-Experience-Low-
Code-Plattform, die es jedem in Ihrem
Unternehmen ermöglicht, ansprechende Erlebnisse
über alle digitalen Touchpoints hinweg zu schaffen.
Constellation Research
Low Code Platform
Shortlist
Forrester Wave
Low Code Development
Platforms for Professional
Developers
Gartner Magic Quadrant
Multiexperience Development
Platform
SPARK Matrix
Low Code Application
Development for Professional
Developers
Unsere Stärken:
3
• Plattform-
übergreifend
• Signifikante “Out-of-the-Box”-
Fähigkeiten mit Low-Code-
Elementen
• Native mobile
Apps & PWAs
• “Eingebaute Sicherheit”

4. .
.
Mobile
Wearables
Desktop IoT Tablet Kiosk Chat-bot
ERP CRM
Datenbanken
CMS, DAM
IoT
SaaS Apps
Web Services
Volt MX Plattform
Iris: Einheitliche visuelle Design- &
Entwicklungsumgebung
Marketplace
Flare: Patentierte Omni-Channel Widget-
Bibliothek & API
Foundry: Sichere Anwendungs-Backenddienste, Workflow, Regeln und Integrationsadapter
DevOps & Automatisiertes Testen
Cloud Native und SaaS Hosting
Domino
Leap: Visuelles Anwendungs- & Workflow-
Design
Digital Experience
4

5. .
.
Entwickeln in Iris: Visuell und/oder mit JavaScript
5

6. .
.
Defend
gegen
Manipulationen
Detect
Angriffe zur
Laufzeit
React
um Angriffe
abzuwehren
• Fortgeschrittene
Verschleierung
• Code- und
Ressourcenverschlüsselung
• Pre-Damage
• Metadatenentfernung
• Checksum
• Debug-Erkennung
• Ressourcenüberprüfung
• Jailbreak/Root Detection
• Swizzling-Erkennung
• Hook Erkennung
• Herunterfahren
(Beenden, Fail)
• Selbstreparatur
• Individuelle Reaktionen
• Alarm / Phone Home
Aber…
App Sicherheit? Eingebaut!

7. .
.
• Wie sicher ist der eigene (Java Script-) Code?
• Wie sicher sind 3rd - Party – Libraries?
• Wie sicher sind verknüpfte Applikationen?
App Sicherheit? Eingebaut! Aber…

8. Copyright © 2022 HCL Software Limited | Confidential
HCL AppScan on
Cloud
Security Testing

9. .
.
10
Schnelle Bereitstellung von Security Tests
Application-Security Management
Eine Konsole zum Verwalten der Risiken, des Testing und Reports über die
Einhaltung von Sicherheitsrichtlinien
Statische Analyse (SAST)
Analyse des Source Codes
schon während der
Programmierung
Dynamische Analyse (DAST)
Identifizierung von Verwund-
barkeiten in laufenden Apps
Open Source (OSA)
Identifizierung von
Verwundbarkeiten durch Open-
Source Libraries
Interaktive Analyse (IAST)
Analyse des Codes in laufenden
Anwendungen durch Instrumentierung;
Datenfluss der Anwendung
Entwickler
Security

10. .
.
13
AppScan SAST & Open-Source Analyse & Infrastructure As Code
3rd Party code – SCA (Software Composition Analysis )
Ihr Code – SAST (Statische Code Analyse)
Infrastruktur Code – SAST
COBOL PL/SQL
Business-kritische Applikationen
Überprüfen Sie intern entwickelten Code schnell auf häufige
Sicherheitslücken. Über 20 Sprachen und Frameworks werden
unterstützt und ständig erweitert.
Überprüfung von 3rd-Party Bibliotheken auf bekannte Schwachstellen
mithilfe branchenführender Datenbanken für Schwachstellen.
Verwenden Sie die SAST-Engine, um Ihre Infrastruktur zu scannen:
• Docker
• Docker scripts
• Kubernetes Pod Configs

11. .
.
14
Security Testing integriert in DevOps
Design Codierung Betrieb
Test
Übergänge
 Alle High Risks behoben
 Alle Medium Risks in <30 Tagen behoben
 Alle Low Risks in <90 Tagen behoben
Security
Gate
CI - Development
Gate
Übergänge
 Automatisierte Verifizierung
 Passed / Failed Build
 Delta Scans
Automat.
Security Audit / Penetration
Testing
Deep Dive Review
Dynamische Analyse
• DAST Scans
Manuelles Penetration
Testing
Statische Analyse
• SAST Scans
IDE Statische Analyse
Continuous Integration
DevOps
SAST Automatisierung
Delta basierte Analyse
Automatisierter Scan
DAST Automatisierung

12. Copyright © 2022 HCL Software Limited | Confidential
Demo
• Erstellung des .IRX Files & Scannen des
Volt MX Codes (mit AppScan Go)
• Ergebnisdarstellung
• Beispiel einer einer Banking Applikation

13. .
.
Application Security Stakeholder

14. .
.
Application Security Stakeholder

15. Copyright © 2022 HCL Software Limited | Confidential
Zusammenfassung

16. .
.
• Eigener Code kann komplett gescannt und
“gesichert” werden – nicht nur Java Script 
• 3rd - Party - Libraries werden ebenfalls verifiziert.
• Verknüpfte Applikationen werden getestet – ggf.
durch DAST
Fazit

17. .
.
21
VS
Code
IntelliJ
IDE’s
CI/CD Pipeline
GitHub
RTC
Vulnerability
Management
Visual
Studio
Eigene Integrationen
ASOC
Swagger
AppScan
Automation
Framework
AppScan
SDK
• Daten-basiert
• Sicher
• Agil
HCL Software
Secure DevOps
Value Stream
Management in
jeglicher Phase des
DevOps Lifecycle
Sichere
Applikationen
während des
Development
Lifecycle
HCL AppScan Integrationen
DevSecOps

18. .
.
22
Links & Dokumentation
• AppScan on Cloud (ASOC)  30 Tage “Free Trial”:
https://www.hcltechsw.com/appscan/freetrial
• AppScan on Cloud (ASOC)  Dokumentation:
https://help.hcltechsw.com/appscan/ASoC/home.html
• CodeSweep 
Die Extension „HCL AppScan CodeSweep for GitHub“ ermöglicht, den Code bei jedem
Pull-Request zu überprüfen. Bei jedem Update werden Schwachstellen im
geändertem Code identifiziert. Außerdem werden Hinweise gegeben, wie die
Schwachstellen behoben werden können.
 Kostenfrei!!!

19. hcltechsw.com