Fortify自定义规则

1). 在fortify SCA安装的bin目录下找到打开自定义规则编辑器，d，如下图所示：

2). 打开编辑器后，选择File ——>Generate Rule，弹出规则向导框。

3). 自定义规则模板可以按照漏洞类型(Category)和规则类型（Rule Type）进行分类，不管是何种方式分类，这些模板大体上分为，源代码审计工具fortify工具，数据污染源tainted规则，源代码审计工具fortify工具，数据控制流规则，数据传递规则，以及漏洞缺陷爆发的sink规则。只要理解了这些规则模板，和开发语言的函数特征，建立规则就简单了。

4) .选择规则包语言，点击next，然后填写报名，类名，函数名

5). 点击next，设置sink点

Fortify SCA 主要特性

1、覆盖大部分对友好的语言，支持：

ABAP/BSP、Apex、、C# (.NET)、C/ C++、Classic、ASP（与 VBScript）、COBOL、ColdFusion CFML、Go、HTML、Java（包括 Android）、JavaScript/AJAX、JSP、Kotlin、MXML (Flex)、Objective C/ C++、PHP、PL/SQL、Python、Ruby、Swift、T-SQL、VB.NET、VBScript、Visual Basic 和 XML 等

2、 灵活的部署选项适应团队开发环境，

比如：Fortify On Demand 允许团队在完全基于 SaaS 的环境中工作；Fortify Hosted 通过在隔离的虚拟环境中工作，完全控制用户数据，为您提供 SaaS 和内部部署的效果；Fortify On-Prem 允许团队对增强解决方案的所有方面有的控制权。

3、 安全助理，河北fortify工具，为开发人员提供实时的代码、安全分析和结果。

它提供了结构和配置分析器，这些分析器是专门为速度和效率而建立的，以支持我们即时的安全反馈工具；安全助理只在 IDE (包括 Microsoft Visual Studio、Eclipse 和 IntelliJ 等) 中查找高可信度——所有真实阳性或假阳性概率非常低——的结果。

安全助理还可以作为开发人员的额外工作助手，与静态扫描结合使用，帮助获得更的安全问题视图。目前，所有 Fortify SCA 和Fortify On-Prem SCA 的客户无需额外的许可证或费用，源代码检测工具fortify工具，即可使用安全助理。

Fortify SSC

无论软件基于桌面端、移动端或者云端，Fortify SSC 都能帮助企业管理软件安全风险，确保其符合内外部的安全规定。

同时，Fortify SSC 还凭借着的静态/动态安全测试功能，以及主动安全管理的集成框架，帮助企业识别在开发过程、遗留应用程序以及整个软件开发生命周期中的风险，加强防御风险的能力。蕞后，尽管 SAP 开发小组分散办公，但公司团队可以在 Fortify SSC 内整合并跟踪全部结果。

源代码审计工具fortify工具-苏州华克斯公司由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司是江苏 苏州 ,行业软件的见证者，多年来，公司贯彻执行科学管理、创新发展、诚实守信的方针，满足客户需求。在华克斯领导携全体员工热情欢迎各界人士垂询洽谈，共创华克斯更加美好的未来。