FortifySCA扫描分析功能要求
·
跟踪可yi的输入数据,直到该数据被不安全使用的全过程中,分析数据使用中的安全隐患。
·
发现易于遭受攻击的语言函数或者过程,并理解它们使用的上下文环境,识别出使用特定函数或者过程带来的软件安全的隐患。
·
jing确地跟踪业务操作的先后顺序,发现因代码构造不合理而带来的软件安全隐患。
·
自动分析软件的配置和代码的关系,发现在软件配置和代码之间,由于配置丢失或者不一致而带来的安全隐患。
Fortify SCA 扫描的结果如下:
Fortify SCA 的结果文件为.FPR 文件,包括详细的漏洞信息:漏
洞分类,漏洞产生的全路径,漏洞所在的源代码行,漏洞的详细说明 及修复建议等。如下:
分级报告漏洞的信息 项目的源代码 漏洞推荐修复的方法
漏洞产生的全路
径的跟踪信息
漏洞的详细说明
图2:Foritfy AWB 查看结果
3.Fortify SCA 支持的平台:
4.Fortify
SCA 支持的编程语言:
5.Fortify SCA plug-In
支持的有:
6.Fortify SCA 目前能够扫描的安全漏洞种类有:
目前Fortify SCA可以扫描出约 300
种漏洞,Fortify将所有安全
漏洞整理分类,根据开发语言分项目,再细分为 8 个大类,约
300
个 子类:
Fortify软件
强化静态代码分析器
使软件更快地生产
企业需要创新的方法来加速SDLC,。 Fortify SCA提供增量扫描,可提供更快的扫描时间和结果,提高生产力,从而实现更多扫描,并通过更快地发布应用程序来保持竞争力。
学到更多
软件安全错误分类
为了帮助开发人员了解导致安全漏洞的编码错误的常见类型,Fortify的研究团队创建了“七恶国”,它将组织的漏洞统一起来,将其映射到行业标准。
在一个集中管理存储库中查看应用程序安全程序
Fortify软件安全中心提供整个应用程序安全程序的可见性,以帮助解决整个软件组合中的漏洞。它通过仪表板和报告测量效率,准确性和价值,利用SDLC上的应用程序安全数据的强大功能。
Fortify软件
强化静态代码分析器
使软件更快地生产
如何修正HP Fortify SCA报告中的弱点?
常见的静态程序码扫描工具(又称原始码检测,白箱扫描),例如HP Fortify SCA,被许多企业用来提高资讯安全的透明度以及外部的法规遵循。但是拿到报告之后怎么办呢?
对于许多开发者来说,HP Fortify SCA的报告被视为麻烦制造者,因为它们虽然指出了弱点(不论是真的或是误报),但却没有提供任何修正这些弱点的方法。
有没有简单的方法能够修正静态程式码扫描工具找到的弱点呢?
Lucent Sky AVM和静态程序码扫描工具一样会指出弱点,同时提供即时修复 - 一段安全的程式码片段,能够直接插入程式码中来修正跨站脚本(XSS),SQL注入和路径处理这些常见的弱点。
以.NET(C#和VB.NET)和Java应用程式来说,Lucent Sky AVM可以修正多达90%所找到的弱点。
一起使用HP Fortify SCA和Lucent Sky AVM
HP Fortify SCA只会告诉你弱点在哪里,而Lucent Sky AVM会指出它们的位置以及修正方式(并且实际为你修正他们,你喜欢的话)HP Fortify SCA是被设计来供资安人士使用,因此设计理念是找出大量的结果,再依赖资讯安全专家来移除其中的误报.Lucent Sky AVM则是专注于找出会真正影响应用程式安全的弱点,并依照你或你的开发与资讯安全团队的设定来可靠的修正这些弱点。你可以深入了解Lucent Sky AMV的修正流程。
以上信息由专业从事源代码扫描工具fortify sca的华克斯于2024/5/5 12:10:46发布
转载请注明来源:http://www.zhizhuke.cn/qyzx/hksxxkj-2747439138.html