fortify規(guī)則庫-蘇州華克斯公司

進(jìn)行安全掃描_Fortify Sca自定義掃描規(guī)則

源代碼編寫

1. 編碼規(guī)范盡量使用fortify認(rèn)可的安全庫函數(shù)，如ESAPI，使用ESAPI后fortify sca會把漏洞標(biāo)記為低危，源代碼審計工具fortify規(guī)則庫，是可以忽略的漏洞類型。以下是對常見漏洞的安全庫函數(shù)

2. 使用注解(針對java)如果我們用過SonarQube，我們會發(fā)現(xiàn)有兩種修改代碼的方式來解決誤報。

注釋

在被誤判的代碼行后面加上注釋：//NOSONAR

String name = user.getName(); //NOSONAR

注解

在類或方法上面加上 @SuppressWarnings 注解

Fortify SAST 新增語言支持

提供27種以上的主要語言及其框架的準(zhǔn)確支持和敏捷更新。之后將添加更多新的語言版本，從根本上改進(jìn)、簡化工作方式。以下語言更新已添加到 Fortify Static 代碼分析器：

.NET

增加對 .NET 5.0、C# 9、 Blazor 語言和框架的支持。

MSBuild Support Update

增加對16.8和16.9版本的支持。

Go

增加對1.15和1.16版本的支持；增加對 GOPROXY 環(huán)境變量的支持。

Java

更新 JSP 翻譯以減少誤報；改進(jìn)字節(jié)碼分析。

JavaScript

增加對 TypeScript 4.1及Angular 10、11語言和框架的支持。

Kotlin

增加對 Kotlin 1.4.20版本的支持。

PHP

增加對 PHP 7.2、7.3、7.4及8.0版本的支持。

Python

增加對Python 3.9、Django 3.1語言和框架的支持。

Swift/Obj-C

增加對 Xcode 12.4版本的支持。

Operating Systems (Linux)

增加對以下 Linux 服務(wù)器的支持：1. SUSE Linux Enterprise Server 15

2. Red Hat Enterprise Linux 8.2

3. CentOS Linux 7.6-1810 and 8.2-2004

4. Ubuntu 20.04.1 LTS

Micro Focus Visual COBOL (Technology Preview)

增加對 Micro Focus Visual COBOL 6.0.版本的支持。

C/C++ (Technology Preview)

使用新的基于 Clang 的翻譯改進(jìn)對 C++11 結(jié)構(gòu)的支持。

Fortify SCA快速入門

規(guī)則庫導(dǎo)入：

所有的掃描都是基于規(guī)則庫進(jìn)行的，因此，源代碼掃描工具fortify規(guī)則庫，建立掃描任務(wù)的前提條件就是你需要把檢查規(guī)則拷貝到HP_Fortify﹨HP_Fortify_SCA_and_Apps_3.80﹨Core﹨config﹨rules文件夾下，拷貝后便為掃描建立了默認(rèn)的規(guī)則庫。另外，你也可以自定義規(guī)則，fortify規(guī)則庫，這些內(nèi)容將會在以后逐一介紹。

建立和執(zhí)行掃描任務(wù)：

我們分別通過Java、.Net C#和C/C++三類不同編程語言項目來介紹如何快速建立和執(zhí)行掃描任務(wù)：

Java項目：

Fortify SCA對于Java項目的支持是做得蕞好的，建立掃描入口的路徑選擇非常多，常用的方法是直接執(zhí)行HP_Fortify﹨HP_Fortify_SCA_and_Apps_3.80﹨bin﹨d，啟動審計工作臺就可以直接對Java項目進(jìn)行靜態(tài)掃描；另外也可以使用Fortify SCA插件，源代碼審計工具fortify規(guī)則庫，集成嵌入Eclipse來完成開發(fā)過程中的實(shí)時掃描；當(dāng)然，你也可以使用原生的命令行工具完成全部工作，我們這里介紹一個通用的方法，即利用ScanWizard工具導(dǎo)入你的源碼項目，通過一系列設(shè)置后，會生成一個批處理腳本文件，通過批處理代替手工輸入執(zhí)行命令進(jìn)行測試。

使用HP_Fortify﹨HP_Fortify_SCA_and_Apps_3.80﹨bin﹨d啟動ScanWizard工具：