Fortify 静态代码分析器(SCA)利用多种算法和扩展的安全编码规则知识库,分析应用程序的源代码,及时发现可修复的漏洞。
为更好处理代码,Fortify SCA 的工作方式与编译器存在相似性——读取并将源代码文件转换为增强的中间结构,以快速执行安全分析。分析引擎由多个专门的分析程序组成,基于安全编码规则分析代码库是否违反了安全编码实践。除此外,Fortify SCA 还提供规则构建器以扩展静态分析,并包含自定义规则,用户根据受众和任务特性,灵活查看分析结果。
Fortify SCA 优势
1、 扫描快又准
• 在开发早期就捕获了大部分代码相关性问题;
• 识别并消除源代码、二进制代码或字节代码中的漏洞;
• 支持 27 种编程语言中 815 种的漏洞类别,并跨越超过 100 万个独立的 API;
•在 OWASP 1.2b 基准测验中,真实阳性率为,证明了高度的准确性。
2、CI/CD 管道中的安全自动化
• 识别和优先处理构成威胁的漏洞,快速降低风险;
• 与CI/CD 工具充分集成,包括 Jenkins, ALM Octane, Jira, Atlassian Bamboo, Azure DevOps, Eclipse 和 Microsoft Visual Studio 等;
• 实时审查扫描结果并获得访问建议,通过代码行导航更快地发现漏洞和与审计开展协作。
3、节约开发时间和成本
• 嵌入 SDLC 后,开发时间和成本平均降低 25%,且早期修复漏洞成本比制作/发布后阶段低 30 倍;
• 发现漏洞数是原来的 2 倍,误报率降低 95%;(数据来源:《Micro Focus Fortify 2017 商业价值可持续交付》)
• 通过在开发人员工作时对他们进行静态应用安全测试培训,满足安全编码实践要求。
Fortify “Source Code Viewer(源代码查看器)”面板:
“Source Code Viewer(源代码查看器)”面板显示了与在“Issues(问题)”面板中选择的问题相关联的代码段。如果“Analysis Trace(分析跟踪)”面板中的多个节点代表一个问题,则“Source Code Viewer(源代码查看器)”面板会显示与所选节点相关联的代码。
在“Source Code Viewer(源代码查看器)”面板中,您可以使用代码辅助功能创建自定义规则和新问题,如下所示:
要为某个函数创建规则,请将光标放在该函数中,单击鼠标右键,然后选择 Write Rule for This Function(为此函数编写规则)。
要创建新问题,请将光标放在该函数中,单击鼠标右键,然后选择 Create New Issue(创建新问题)。
Fortify SCA产品特性:
1.从多方面分析软件源代码,查找软件安全漏洞,是目前采用分析技术的,检查代码安全问题,其检查方式分别为:数据流、控制流、语义、配置流和代码结构
2.是目前能跨越软件不同层次和不同语言边界的静态分析技术,能安全漏洞引入的过程。
3.安全代码规则面,安全漏洞检查。目前包括150多种类别的安全漏洞,其安全代码规则多达50000多条。规则内容涉及, C/C++, C#, ColdFusion,Java, JSP, PL/SQL, T-SQL, XML,VB.NET and other .NET等多种语言
4.支持多种国际软件安全的标准:OWASP、Payment Card Industry (PCI) Compliance、Federal Informati0n Security Management Act(FISMA)Common Weakness Enumeration(CWE)….。
5. 支持混合语言的分析,包括 , C/C++, C#, Java?, JSP, PL/SQL,T-SQL, VB.NET, XML and other .NET languages. Fortify SCA 支持 Windows, Solaris, Linux, AIX,and Mac OS ….等多种操作系统
6. 支持自定义软件安全代码规则。
7.集成软件开发环境(Microsoft Visual Studio, IBM RAD, and Eclipse.)和自动产品构建过程。
8. 基于Web接口,能对企业多个项目进行集中的安全统计、分析和管理
以上信息由专业从事源代码检测工具fortify sca的华克斯于2024/7/7 9:10:43发布
转载请注明来源:http://m.tz1288.com/qynews/hksxxkj-2781971479.html
下一条:随州食品冷库工程来电洽谈「雪地」