Fortify Gartner 应用安全榜
作为Micro Focus 安全业务线 CyberRes 的旗舰产品，Fortify 雄踞亚太地区市场榜单前列长达十余载，影响力强大且深远。
如今的 Fortify 解决方案，借由其高与定制化兼具的技术知识与产品优势，能帮助企业在现有 IT 基础上快速构建安全软件体系。
无需额外购买其他资源，企业可以凭借 Fortify 不断更新安全保障能力，持续满足数字化转型升级的扩大化需求。
自2009年起，Fortify 长达十余年被 Gartner 魔力象限评为企业，这意味着其在安全测试市场的前列地位已经相当稳固。
高标准、高水平，始终如一。从 Gartner 长期的高度评价中，我们发现了一个的 Fortify。下面，就跟随我们一探究竟吧！
Micro Focus Fortify 诚愿未来有您，与我们共创安全运营的未来，共缔企业数字化时代的业务高峰！
Fortify 审计
Fortify扫描后生成的fpr文件，就是我们审计的目标。Fortify会将源码信息和识别到的风险记录下来。
使用Fortify Audit Workbench打开文件后；左上角的小窗口会列出所有识别出来的潜在风险，双击即可查看对应位置代码。这里是一个在日志中打印IMEI的风险项，左下角可以看到整个数据链路，了解数据的传递路径。视图中上位置是代码窗口，可以看到已经将危险代码标识出来。如果代码窗口中的中文显示乱码，往往是因为Fortify默认的解析字节码是GBK，可以在选中代码文件后，点击Edit->Set Encoding...选项，设置正确的编码方式即可。中下位置则是对于规则的介绍，协助安全工程师确定问题，识别风险。右侧的则是所有依赖的代码的路径。
在我们审计过程中，如果发现问题是误报，可以右键风险项，选择Hide in AWB，即可隐藏误报问题。
然后是生成报告，我们可以选择生成两种报告：
BIRT是统计报告，可以按照不同标准显示各种类型风险的统计信息。也可以选择一些我们认定是误报的项，是否显示。
Legacy表示信息的留存，该报告会将各风险项的信息依次打印出来，可以提供给业务确认风险。
Fortify SCA覆盖规则
以下演示覆盖一个秘钥硬编码的规则：
还是以fortify安装目录下自带的php示例代码(Samples\basic\php)为例
由于没有加密机和密码托管平台，数据库密码只能明文写在代码或配置文件里，怎么不让fortify重复报出这种问题呢？
写一条新规则覆盖这个id的规则，如下xml：
随便一个不会用到的保存秘钥的变量名pasword，覆盖了这条规则
以上信息由专业从事源代码扫描工具fortify服务商的华克斯于2024/3/28 15:19:30发布
转载请注明来源：http://m.tz1288.com/qynews/hksxxkj-2725561549.html
