源代碼掃描工具fortify-華克斯信息

新一代 Fortify 發(fā)布，搶先部署等你來(lái)！

此次更新的軟件服務(wù)包括：Static Code Analyzer、WebInspect、Software Security Center、Software? Analysis。其中 Fortify Static Code Analyzer提供靜態(tài)代碼分析器（SAST），F(xiàn)ortify WebInspect是動(dòng)態(tài)應(yīng)用安全測(cè)試軟件（DAST）。

Fortify SAST 新增功能

SAST Speed Dial

根據(jù)應(yīng)用需求調(diào)整掃描深度，以更好地控制靜態(tài)測(cè)試的速度和準(zhǔn)確性。通過(guò) CI 撥號(hào)設(shè)置將掃描速度提高50%，并在需要時(shí)保存深度 SAST 掃描。新增功能如下：

1. 增加3級(jí)和4級(jí)支持

2. 將中間顯影掃描速度提高50%（減少報(bào)告問(wèn)題）

3. 減少 Java 和 C/C++ 等類型語(yǔ)言的掃描時(shí)間

4. 4級(jí)支持提供完整掃描

一、 Fortify SCA概述

1、Source Code Analysis 階段概述

Audit Workbench 會(huì)啟動(dòng) Fortify SCA“Scanning（掃描）”向?qū)?lái)掃描和分析源代碼。該向?qū)д狭艘韵聨讉€(gè)分析階段：

轉(zhuǎn)換：使用源代碼創(chuàng)建中間文件，源代碼掃描工具fortify，源代碼與一個(gè) Build ID相關(guān)聯(lián)，Build ID通常就是項(xiàng)目名稱。

掃描與分析：掃描中間文件，分析代碼，并將結(jié)果寫入一個(gè)Fortify Project Results(FPR)文件。

校驗(yàn)：確保所有源文件均包含在掃描過(guò)程中，源代碼掃描工具fortify sca價(jià)格，使用的是正確的規(guī)則包，且沒(méi)有報(bào)告重大錯(cuò)誤。

2、安全編碼規(guī)則包概述

安全編碼規(guī)則包是 Fortify Software 安全研究小組多年軟件安全經(jīng)驗(yàn)的體現(xiàn)，并且經(jīng)過(guò)其不斷努力改進(jìn)而成。這些規(guī)則是通過(guò)對(duì)編碼理論和常用編碼實(shí)踐的研究，而取得的軟件安全知識(shí)的巨大積累，源代碼掃描工具fortify掃描，并且在 Fortify Software 安全研究小組的努力下不斷擴(kuò)展和改進(jìn)。每個(gè)安全編碼規(guī)則包均包含大量的規(guī)則，每個(gè)規(guī)則定義了一個(gè)被 source code analysis 檢測(cè)出的特定異常行為。

一旦檢測(cè)出安全問(wèn)題，安全編碼規(guī)則包會(huì)提供有關(guān)問(wèn)題的信息，源代碼掃描工具fortify價(jià)格表，讓開(kāi)發(fā)人員能夠計(jì)劃并實(shí)施修復(fù)工作，這樣比研究問(wèn)題的安全細(xì)節(jié)更為有效。這些信息包括關(guān)于問(wèn)題類別的具體信息、該問(wèn)題會(huì)如何者利用，以及開(kāi)發(fā)人員如何確保代碼不受此漏洞的威脅。

安全編碼規(guī)則包支持多種編程語(yǔ)言，也支持各種經(jīng)過(guò)擴(kuò)展的第三方庫(kù)和配置文件。

有關(guān)當(dāng)前安全編碼規(guī)則包的信息，請(qǐng)參見(jiàn)《安全編碼規(guī)則包參考》。

在 Fortify SCA 轉(zhuǎn)換階段，該文件夾會(huì)變成藍(lán)色，且文件會(huì)添加到類路徑中：

選擇項(xiàng)目的 Java 版本。

輸入 Build ID。默認(rèn)情況下，Build ID 為根目錄。

輸入 Fortify SCA 在分析階段生成的 FPR 的路徑和文件名。

單擊 Next（下一步）。

系統(tǒng)會(huì)顯示“Commandline Builder（命令行構(gòu)建器）”對(duì)話框。

命令構(gòu)建器

要跳過(guò)某一階段，請(qǐng)取消勾選 Enable Clean（啟用清除）、Enable Translation（啟用轉(zhuǎn)換）或 Enable Scan（啟用掃描）復(fù)選框。