源代码扫描工具fortify工具 苏州华克斯公司

HPFortifySCA简介

1.软件基本功能

·

安全漏洞检测需拥有目前业界quan威的代码漏洞规则库，能够检测出600种以上的问题

·

支持多种常见编程语言，包括ASP.NET，C，C ，C#，Classic

ASP， Flex/Actionscript，Java，Javascript/AJAX，JSP，Objective

C，源代码扫描工具fortify哪里有卖，PL/SQL，PHP，T-SQL，源代码扫描工具fortify代理商，VB.NET，VBscript，VB6，XML/HTML，Python，

ColdFusion， COBOL， ABAP等语言。

·

支持多种IDE，较好地和现有成熟的软件开发环境集成。如：Visual Studio 2003、2005、2008、2010、2012，Eclipse 2.X、 3.X，WSAD，RAD工具等。

·

支持多种操作系统，即可以安装在所有主流操作系统中，如：Windows、 Linux 、AIX、HP-Unix、 Solaris、Mac OS等。

·

工具生成的测试结果报告文档包含详尽的中文漏洞说明和修复指导建议。

·

工具的技术达到国际ling先水平和地位，有国际/国内机构的奖励和证书或对WASC/OWASP组织有重要贡献。在ju的IT研究咨询机构Gartner的xin报告中，应该位于魔力象限的di一象限业界地位。

Fortify软件

强化静态代码分析器

使软件更快地生产

HP Fortify静态代码分析器

Fortify SCA 5.0提供定制

为了帮助企业客户定制其应用程序安全规则和部署，Fortify已将规则开发和管理集成到Fortify SCA 5.0的审核工作台中，为开发人员通过管理安全开发的安全规则生成，编辑和排序提供了的灵活性。其中一些功能包括：

- 新的规则写入向导 - 用户可以快速创建自定义规则

回答一系列旨在确定代码中的问题的问题

这取决于唯yi的编码标准或专有库。

- API ScanView - Fortify SCA 5.0提供了一个用于呈现的界面

项目中使用的各种API，并突出显示未涵盖的API

通过Fortify安全编码规则包。从这个界面，用户可以

轻松创建相关API的新的自定义规则。

- Rulepack Manager - Fortify用于管理Rulepacks的界面

用户可以快速确定Rulepack的内容并允许它们

轻松过滤，排序和编辑规则。

- 规则编辑器 - 对于用户，Fortify的XML编辑器提供语法

突出显示，代码完成，源代码扫描工具fortify，验证和内联错误报告

适用于自定义规则。

Fortify SCA 5.0启用协作

企业需要跨开发团队的连接，能够在和全天候进行协作。 Fortify SCA 5.0为安全人员和应用程序开发人员提供了在不同视图中处理他们的项目的方法，允许两个组在不相互影响的情况下执行其功能。此外，此版本是第yi个应用程序安全解决方案，包括一系列跟踪和审核工具，可帮助开发人员在同一个项目上工作，而不管位置如何。后，Fortify SCA 5.0集成了强大的报告功能，团队领导可以用来展示整个企业的其他利益相关者的进步。具体协作功能包括：

- 协作审核 - 团队成员现在可以发布一个

源代码扫描到基于Web的应用程序进行审查，评论

开启和分类问题。

- 模式 - 以开发人员为中心的模式着重于众所周知

质量问题，如空指针解引用，内存泄漏和

更多 - 以非常低的假阳性率，精简安全

编码过程。开发人员可以专注于的项目

他们，源代码扫描工具fortify工具，而安全人士可以看到所有潜在的问题

根据需要将他们带到开发商。

- 审计历史 - 在一个问题上执行的每个评论和行动

记录在时间轴上，以及时间戳和用户名

执行行动的人

- 手动审核整合 - 手动代码审查期间发现的问题

或其他形式的安全测试可以集成到审计

工作台。现在所有的代码级安全问题都可以合并在一个

强化SCA分析。

- 优先级排序 - 用户可以根据自己的需求分类问题

组织的命名，创建自定义问题文件夹和创建

过滤器自动填充文件夹中的特定类型的问题，

或者完全隐藏某些问题。

- 新的IDE支持 - Fortify SCA现在支持RSA 7，RAD 7和RAD 6。

– HPE Fortify SCA

分析的流程

运用三步走的方法来执行源代码安全风险评估：

u 确定源代码安全风险评估的审查目标

u 使用Fortify执行初步扫描并分析安全问题结果

u 审查应用程序的架构所特有的代码安全问题

在第yi步中，我们使用威胁建模（如果可用）的结果以及对用于构建该应用的架构和技术的理解，其目标就是寻求一系列的安全漏洞的风险表现形式。在初步检查过程中，我们将结合静态分析和轻量级的人工审查来确定代码中关键点-很可能包含了更多漏洞的地方，初始扫描使我们能够优先考虑风险gao的区域。

在审查主要代码过程中，我们的源代码安全分析人员对代码进行审查来寻找常见安全问题，比如大家熟悉的缓冲区溢出、跨站点脚本，SQL注入等。终审查用于调查本应用程序架构所特有的问题，一般表现为威胁建模或安全特征中出现的威胁，如自定义身份验证或授权程序等。