FortifySCA报表及测试结果管理功能要求
·
能够针对客户的个性化需求，勾选报表模板中的内容，并且可以自定义报表模板。包含加入用户企业的LOGO。
·
提供多种格式的检测报告，如：PDF、Xml，Word等。
·
提供将测试结果与OWASP
2007/2010/2013 TOP10漏洞的比较性报表。
·
能够编辑以往有效成功的修复经验描述在系统中，并可以整合在报告中输出，共享漏洞修复的经验。
·
测试结果可以以文件形式保存，无需数据库支持，减少部署时间和成本，也可以将测试结果作为测试资产集中存储在商用的数据库中，以便测试资产管理和备份工作。
·
对企业中多个项目的多次测试结果进行统一管理，能够按项目或项目开发语言等多种方式查看测试结果的发展趋势，帮助管理人员定制安全策略。
Fortify软件
强化静态代码分析器
使软件更快地生产
HPE Security Fortify SCA和SSC是为DevOps SDLC提供动力的新功能
关于本网络研讨会
随着威胁的发展，应用程序的安全性也将如此。 HPE Security Fortify继续创建并开创新功能，进一步自动化和简化应用安全测试程序。 了解与DevOps要求相一致的新的静态扫描进展。 了解扫描分析如何进一步增强和改进审核流程，以提高安全扫描结果的相关性。
记录2016年10月26日27分钟
由
Fortify的产品经理Michael Right，Fortify的产品经理Emil Kiner
Fortify软件
强化静态代码分析器
使软件更快地生产
“将FINDBUGS XML转换为HP FORTIFY SCA FPR | MAIN | CA特权身份管理员安全研究白皮书»
强化针对JSSE API的SCA自定义规则滥用
我们的贡献：强制性的SCA规则
为了检测上述不安全的用法，我们在HP Fortify SCA的12个自定义规则中对以下检查进行了编码。这些规则确定了依赖于JSSE和Apache HTTPClient的代码中的问题，因为它们是厚客户端和Android应用程序的广泛使用的库。
超许可主机名验证器：当代码声明一个HostnameVerifier时，该规则被触发，并且它总是返回'true'。
<谓词>
<！[CDATA [
函数f：f.name是“verify”和f.pers
包含[Class：name ==“.nameVerifier”]和
f.parameters [0] .是“ng.String”和
f.parameters [1] .是“.ssl.SSLSession”和
f.是“boolean”，f包含
[ReturnStatement r：r.nstantValue matches“true”]
]]>
</谓词>
过度允许的信任管理器：当代码声明一个TrustManager并且它不会抛出一个CertificateException时触发该规则。抛出异常是API管理意外状况的方式。
<谓词>
<！[CDATA [
函数f：f.name是“checkServerTrusted”和
f.parameters [0] .是“curity.cert.X509Certificate”
和f.parameters [1] .是“ng.String”和
f.是“void”而不是f包含[ThrowStatement t：
t.expression.pers包含[Class：name ==
“（curity.cert.CertificateException | curity.cert.CertificateException）”]
]]>
</谓词>
缺少主机名验证：当代码使用低级SSLSocket API并且未设置HostnameVerifier时，将触发该规则。
经常被误用：自定义HostnameVerifier：当代码使用HttpsURLConnection API并且它设置自定义主机名验证器时，该规则被触发。
经常被误用：自定义SSLSocketFactory：当代码使用HttpsURLConnection API并且它设置自定义SSLSocketFactory时，该规则被触发。
我们决定启动“经常被滥用”的规则，因为应用程序正在使用API，并且应该手动审查这些方法的重写。
规则包可在Github上获得。这些检查应始终在源代码分析期间执行，以确保代码不会引入不安全的SSL / TLS使用。
https:///GDSSecurity/JSSE_Fortify_SCA_Rules
AuthorAndrea Scaduto |评论关闭|分享文章分享文章
标签TagCustom规则，CategoryApplication安全性中的TagSDL，CategoryCustom规则
以上信息由专业从事源代码检测工具fortify报告中文插件的华克斯于2024/5/21 7:01:15发布
转载请注明来源：http://www.zhizhuke.cn/qyzx/hksxxkj-2756116644.html
