fortifySCA优点      

从代码的结构方面分析代码，识别代码结构不合理而带来的安全弱点和问题。

·        

对多层次、多语言的项目，可以跨层次、跨语言地对整个项目进行分析。找到贯穿在多个层次或者多种语言的安全问题。可以支持Web应用的三层框架多种语言整合测试如JSP/Java/T-SQL 或ASPX/C#/T-SQL。

支持检测业界***全的安全漏洞，工具能够支持检测的漏洞要能依从于国际***组织，如美国软件安全漏洞词典CWE、开放式Web应用程序安全项目组织OWASP等

漏洞扫描规则支持客户自定义。方便客户添加特殊的扫描需求。同时提供友好的图形化的自定义向导和编辑器，自动生成规则脚本。

–  HPE Fortify SCA

分析的流程

运用三步走的方法来执行源代码安全风险评估：

u  确定源代码安全风险评估的审查目标

u  使用Fortify执行初步扫描并分析安全问题结果

u  审查应用程序的架构所特有的代码安全问题

在第yi步中，我们使用威胁建模（如果可用）的结果以及对用于构建该应用的架构和技术的理解，其目标就是寻求一系列的安全漏洞的风险表现形式。Net,Java,JSP,PL/SQL,T-SQL,XML,CFML,JavaScript,PHP,ASP,VB,VBScript。在初步检查过程中，我们将结合静态分析和轻量级的人工审查来确定代码中关键点-很可能包含了更多漏洞的地方，初始扫描使我们能够优先考虑风险***gao的区域。

 在审查主要代码过程中，我们的源代码安全分析人员对代码进行***审查来寻找常见安全问题，比如大家熟悉的缓冲区溢出、跨站点脚本，SQL注入等。缓冲区此分析仪检测缓冲区溢出漏洞，涉及写入或读取比缓冲区容纳的更多数据。***终审查用于调查本应用程序架构所特有的问题，一般表现为威胁建模或安全特征中出现的威胁，如自定义身份验证或授权程序等。

Fortify软件

强化静态代码分析器

使软件更快地生产

HPE Security Fortify SCA和SSC是为DevOps SDLC提供动力的新功能

关于本网络研讨会

随着威胁的发展，应用程序的安全性也将如此。 HPE Security Fortify继续创建并***新功能，进一步自动化和简化应用安全测试程序。FortifySCAPTA无需源代码，部署简单方便与QA测试活动结合，省时省力自动化完成测试，提供安全漏洞信息，使修复漏洞更快，更容易能达到较高的测试覆盖率，发现更多安全漏洞，测试更加全mian软件开发人员：企业软件外包商或者内部开发人员。 了解与DevOps要求相一致的新的静态扫描进展。 了解扫描分析如何进一步增强和改进***审核流程，以提高安全扫描结果的相关性。

记录2016年10月26日27分钟

由

Fortify的***产品经理Michael Right，Fortify的产品经理Emil Kiner