Fortify SCA 优势
1、 扫描快又准
• 在开发早期就捕获了大部分代码相关性问题；
• 识别并消除源代码、二进制代码或字节代码中的漏洞；
• 支持 27 种编程语言中 815 种的漏洞类别，并跨越超过 100 万个独立的 API；
•在 OWASP 1.2b 基准测验中，真实阳性率为，证明了高度的准确性。
2、CI/CD 管道中的安全自动化
• 识别和优先处理构成威胁的漏洞，快速降低风险；
• 与CI/CD 工具充分集成，包括 Jenkins, ALM Octane, Jira, Atlassian Bamboo, Azure DevOps, Eclipse 和 Microsoft Visual Studio 等；
• 实时审查扫描结果并获得访问建议，通过代码行导航更快地发现漏洞和与审计开展协作。
3、节约开发时间和成本
• 嵌入 SDLC 后，开发时间和成本平均降低 25%，且早期修复漏洞成本比制作/发布后阶段低 30 倍；
• 发现漏洞数是原来的 2 倍，误报率降低 95%；（数据来源：《Micro Focus Fortify 2017 商业价值可持续交付》)
• 通过在开发人员工作时对他们进行静态应用安全测试培训，满足安全编码实践要求。
Fortify SCA 主要特性
4、 Audit Assistant 的机器学习能力，为您的企业识别相关度的漏洞并确定优先级，从而节省人工审计时间。
应用机器学习的自动化减少了人工审计时间，以扩大静态应用安全性测试的 ROI。好处在于：
在几分钟内提供自动化的审计结果，地减少审计人员的工作量，以置信度对问题进行优先排序，在整个项目中创建准确和一致的审计结果；
以 DevOps 的速度进行审计，整合 SCA 以构建服务器、源代码管理服务器和更频繁地扫描得出即时结果成为可能；
除此外，还可以减少需要深度人工检查的问题数量；及时发现相关问题，及时排除误报；利用现有资源扩展应用安全等等
5、 ScanCentral 可支持服务器上的轻量级打包，并提供可扩展的、集中的 Fortify 扫描基础设施，以满足软件安全中心不断增长的现代化开发需求。
6、 调整扫描以实现所需的灵活性，并可通过内部部署、按需部署或混合方式进行扩展等。
Fortify代码扫描使用教程
1、进入Fortify安装目录，再进入bin目录，双击d启动程序
2、打开扫描窗口，点击Scan Java Project
3、选择要扫描的项目目录，点击确定按钮
4、弹出java代码版本选择窗口，选择版本后，点击OK
5、弹出审计向导窗口，点击Scan按钮开始扫描
6、扫描开始，等待扫描结束，等待时间根据项目大小而定，可能时间会很长
7、扫描结束后，显示扫描结果。
Fortify SCA如何使用！
安装fortify之后，打开
界面：
选择扫描
他问要不要更新？ 如果你购买了可以选择YES。
选择之后出现如下界面
浏览意思是：扫描之后保存的结果保存在哪个路径。
然后点击下一步。
参数说明：
1、enable clean :把上一次的扫描结果清楚，除非换一个build ID,不然中间文件可能对下一次扫描产生影响。
2、enable translation: 转换，把源码代码转换成nst文件
3、64： 是扫描64位的模式，sca默认扫描是32位模式。
4、-Xmx4000m:4000M大概是4G，制定内存数-Xmx4G ：也可以用G定义这个参数建议加
5、-encoding: 定制编码，UTF-8比较全，工具解析代码的时候字符集转换的比较好，建议加，如果中文注释不加会是乱码。
6、-diable-source-:rendering:不加载与漏洞无关的代码到审计平台上，不建议加，这样代码显示不全。
以上信息由专业从事源代码审计工具fortify采购的华克斯于2024/4/27 10:19:00发布
转载请注明来源：http://m.tz1288.com/qynews/hksxxkj-2742805910.html
上一条：结构加固施工承诺守信「多图」
