SonarQube和Fortify的区别对比
一直以来,有很多用户在问,SoanrQube和Fortify都是白盒的源代码扫描工具,这两个产品有什么不一样的地方呢?苏州华克斯信息科技有限公司做为SonarQube和Fortify这两个产品在中国的he心合作伙伴,希望下边的内容能解答您的疑惑。
SonarQube是一个代码质量分析平台,便于管理代码的质量,可检查出项目代码的漏洞和潜在的逻辑问题。同时,它提供了丰富的插件,支持多种语言的检测。
主要的he心价值体现在如下几个方面:
Ø检查代码是否遵循编程标准:如命名规范,编写的规范等。
Ø检查设计存在的潜在缺陷:SonarQube通过插件Findbugs等工具检测代码存在的缺陷。
Ø检测代码的重复代码量:SonarQube可以展示项目中存在大量复zhi粘贴的代码。
Ø检测代码中注释的程度:源码注释过多或者太少都不好,影响程序的可读可理解性。
Ø检测代码中包类之间的关系:分析类之间的关系是否合理,复杂度情况。
Fortify SCA是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎:数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析,分析的过程中与它特有的软件安全漏洞规则集进行全mian地匹配、查找,从而将源代码中存在的安全漏洞扫描出来,并给予整理报告。
SonarQube从七个维度来分析代码质量问题:
可靠性
安全性
可维护性
覆盖率
重复
大小
复杂度
问题
单论代码分析能力,拿SonarJava举例,对于大多数zui佳实践类型的问题,比如不该使用MD5,不要用主线程sleep等,都还是查的不错。但是真正严重的安全漏洞,比如SQL注入之类的污点传播类问题,一般涉及跨文件,函数,以及涉及对虚函数、数组、容器的处理,还要识别通过框架等配置的数据处理逻辑,那就无能为力。
这也是SonarQube分析器跟Fortify工具的差距所在。
对“关于Fortify SSC”框的更改
“管理”视图的“配置”部分现在包括“关于”页,您可以从中配置“关于”框中的“支持”链接。有关如何更改“支持”链接的信息,请参阅用户指南中的“自定义 Fortify 软件安全中心关于框”。
对 SAML SSO 配置的更改
用于配置 Fortify 软件安全中心以使用 SAML SSO 的过程已更改(请参阅用户指南中的“配置 Fortify 软件安全中心以使用符合 SAML 2.0 的单点登录解决方案”)
阻止启动时刷新 LDAP /启用持久缓存的 LDAP 数据
以前,LDAP 数据驻留在内存缓存中,并在服务器关闭时丢失。现在,您可以启用缓存的数据在关机后保留,以便重新启动 Fortify 软件安全中心的速度要快得多,尤其是对于大型 LDAP 环境。更多信息请参阅用户指南中的“启用 LDAP 缓存的持久性”。
更新了 Kubernetes 支持
支持 Kubernetes 1.23 和 1.24
支持 Helm 3.9
以上信息由专业从事代理商sonarqube教程的华克斯于2024/7/18 9:57:19发布
转载请注明来源:http://m.tz1288.com/qynews/hksxxkj-2787736805.html