Fortify 静态代码分析器（SCA）利用多种算法和扩展的安全编码规则知识库，分析应用程序的源代码，及时发现可修复的漏洞。
为更好处理代码，Fortify SCA 的工作方式与编译器存在相似性——读取并将源代码文件转换为增强的中间结构，以快速执行安全分析。分析引擎由多个专门的分析程序组成，基于安全编码规则分析代码库是否违反了安全编码实践。除此外，Fortify SCA 还提供规则构建器以扩展静态分析，并包含自定义规则，用户根据受众和任务特性，灵活查看分析结果。
Fortify SCA 优势
1、 扫描快又准
• 在开发早期就捕获了大部分代码相关性问题；
• 识别并消除源代码、二进制代码或字节代码中的漏洞；
• 支持 27 种编程语言中 815 种的漏洞类别，并跨越超过 100 万个独立的 API；
•在 OWASP 1.2b 基准测验中，真实阳性率为，证明了高度的准确性。
2、CI/CD 管道中的安全自动化
• 识别和优先处理构成威胁的漏洞，快速降低风险；
• 与CI/CD 工具充分集成，包括 Jenkins, ALM Octane, Jira, Atlassian Bamboo, Azure DevOps, Eclipse 和 Microsoft Visual Studio 等；
• 实时审查扫描结果并获得访问建议，通过代码行导航更快地发现漏洞和与审计开展协作。
3、节约开发时间和成本
• 嵌入 SDLC 后，开发时间和成本平均降低 25%，且早期修复漏洞成本比制作/发布后阶段低 30 倍；
• 发现漏洞数是原来的 2 倍，误报率降低 95%；（数据来源：《Micro Focus Fortify 2017 商业价值可持续交付》)
• 通过在开发人员工作时对他们进行静态应用安全测试培训，满足安全编码实践要求。
Fortify “Source Code Viewer（源代码查看器）”面板：
“Source Code Viewer（源代码查看器）”面板显示了与在“Issues（问题）”面板中选择的问题相关联的代码段。如果“Analysis Trace（分析跟踪）”面板中的多个节点代表一个问题，则“Source Code Viewer（源代码查看器）”面板会显示与所选节点相关联的代码。
在“Source Code Viewer（源代码查看器）”面板中，您可以使用代码辅助功能创建自定义规则和新问题，如下所示：
要为某个函数创建规则，请将光标放在该函数中，单击鼠标右键，然后选择 Write Rule for This Function（为此函数编写规则）。
要创建新问题，请将光标放在该函数中，单击鼠标右键，然后选择 Create New Issue（创建新问题）。
Fortify SCA产品特性：
1．从多方面分析软件源代码，查找软件安全漏洞，是目前采用分析技术的，检查代码安全问题，其检查方式分别为：数据流、控制流、语义、配置流和代码结构
2．是目前能跨越软件不同层次和不同语言边界的静态分析技术，能安全漏洞引入的过程。
3．安全代码规则面，安全漏洞检查。目前包括150多种类别的安全漏洞，其安全代码规则多达50000多条。规则内容涉及, C/C++, C#, ColdFusion,Java, JSP, PL/SQL, T-SQL, XML,VB.NET and other .NET等多种语言
4．支持多种国际软件安全的标准：OWASP、Payment Card Industry (PCI) Compliance、Federal Informati0n Security Management Act（FISMA）Common Weakness Enumeration（CWE）….。
5. 支持混合语言的分析，包括 , C/C++, C#, Java?, JSP, PL/SQL,T-SQL, VB.NET, XML and other .NET languages. Fortify SCA 支持 Windows, Solaris, Linux, AIX,and Mac OS ….等多种操作系统
6. 支持自定义软件安全代码规则。
7．集成软件开发环境（Microsoft Visual Studio, IBM RAD, and Eclipse.）和自动产品构建过程。
8． 基于Web接口，能对企业多个项目进行集中的安全统计、分析和管理
以上信息由专业从事源代码检测工具fortify sca的华克斯于2024/7/7 9:10:43发布
转载请注明来源：http://m.tz1288.com/qynews/hksxxkj-2781971479.html
上一条：结构加固施工承诺守信「多图」
