Acessamos o portal da Veracode, clicamos em "Scans & Analysis" e em "Dynamic Analysis".

No canto superior direito, clicamos no botão "Scan Web Applications"

Na primeira tela configuramos os identificadores da nossa análise, como o nome, quais URLs vão ser analisadas e quem pode acessar os resultados:

Descendo um pouco a tela chegamos em "Organization Information", onde podemos colocar informações adicionais ao scan.
No final da tela, precisamos clicar no Checkbox da seção "Scanning Certification", confirmando que temos permissão para fazer a análise no endereço informado. Depois clicamos no botão "Configure".

Na tela de configuração, podemos usar as seções "Dynamic Analysis Blocklist" e "Dynamic Analysis User Agent" para definir o que vai ser aplicado para todas as URLs.

Na seção "Dynamic Analysis Configuration" em cada uma das URLs, no canto direito, temos um botão de edição representado por um lápis. Clicando nele podemos editar uma série de itens particulares desse endereço e seus subdomínios, como autenticação, limites e se vai ser preciso configurar o ISM para analisar um ambiente disponível em uma intranet.

Depois de todas as personalizações, clicamos no botão "Schedule"
Nessa seção podemos definir se a análise vai ser feita uma vez ou de forma recorrente, fora as opções de salvar para depois ou apenas validar se o é possível fazer por meio do Prescan

Caso exista alguma necessidade de pausar o scan, temos a opção de "Pause and Resume". Um exemplo de uso, é um ambiente que só fica ligado em horário comercial, onde podemos colocar para o scan exatamente a janela em que o site vai ficar disponível.

Por fim clicamos em "Review and Submit" para poder revisar as configurações, caso esteja tudo bem, basta clicar em "Submit"

Pronto, agora é só aguardar os resultados.