Fortify SCA安全合规问题规则定制

《互联网个人信息保护指南》里指出重要数据在存储过程中应保密，包括但不限于鉴别数据和个人信息。而我们在实际审查中发现，源代码扫描工具fortify服务商，有的应用为了排查问题方便，在服务器中间件Log里记录了用户的姓名、shenfenzheng号、yinhangka号、等敏感信息。这种问题可以通过自动化代码审查发现，而fortify默认的规则是无法识别shenfenzheng号这种信息的，四川fortify服务商，我们可以新建CharacterizationRule来完成对shenfenzheng标识的识别

1.增加对合规信息的识别

2.定制漏洞描述和修复建议

Fortify介绍

Fortify介绍    

Fortify是一款强大的静态代码扫描分析工具，其发现代码漏洞缺陷的能力十分强悍，主要是将代码经过编译，依托于其强大的内置规则库来发现漏洞的。其次fortify SCA团队在开发此商业工具时，也提供了自定义规则的接口，只要经过正版授权后，便可以在此基础上自定义规则，来增强Fortify SCA的漏洞识别能力，同时经过自定义规则，也可以降低误报，使静态分析的准确度和性。

    默认情况下，Fortify SCA使用安装的安全编码规则包来检查源代码，并定义一系列可能出现的问题，如可者李勇的安全漏洞和不良的编码缺陷。

   安全编码规则中的规则分析受支持语言的和扩展的API包中的函数，并将分析结果记录在Fortify SCA中。每一个问题的解释包含了对问题的描述和建议的解决方案，源代码扫描工具fortify服务商，一边更好的解决程序中的漏洞和缺陷。也可以通过创建自定义规则包来准确地分析特定的应用程序，验证专门的安全规则以及细化Fortify SCA所报告的问题。

Fortify SCA 优势

1、 扫描快又准

? 在开发早期就捕获了大部分代码相关性问题；

? 识别并消除源代码、二进制代码或字节代码中的漏洞；

? 支持 27 种编程语言中 815 种的漏洞类别，并跨越超过 100 万个独立的 API；

?在 OWASP 1.2b 基准测验中，真实阳性率为100%，证明了高度的准确性。

2、CI/CD 管道中的安全自动化

? 识别和优先处理构成威胁的漏洞，快速降低风险；

? 与CI/CD 工具充分集成，包括 Jenkins， ALM Octane， Jira，源代码检测工具fortify服务商， Atlassian Bamboo， Azure DevOps， Eclipse 和 Microsoft Visual Studio 等；

? 实时审查扫描结果并获得访问建议，通过代码行导航更快地发现漏洞和与审计开展协作。

3、节约开发时间和成本

? 嵌入 SDLC 后，开发时间和成本平均降低 25%，且早期修复漏洞成本比制作/发布后阶段低 30 倍；

? 发现漏洞数是原来的 2 倍，误报率降低 95%；（数据来源：《Micro Focus Fortify 2017 商业价值可持续交付》)

? 通过在开发人员工作时对他们进行静态应用安全测试培训，满足安全编码实践要求。

源代码检测工具fortify服务商-华克斯由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司位于苏州工业园区新平街388号。在市场经济的浪潮中拼博和发展，目前华克斯在行业软件中享有良好的声誉。华克斯取得全网商盟认证，标志着我们的服务和管理水平达到了一个新的高度。华克斯全体员工愿与各界有识之士共同发展，共创美好未来。