fortifysca優點     

工(gong)具(ju)支持自動檢測版本(ben)更新(xin)(xin)，工(gong)具(ju)和掃描規(gui)則可以方(fang)便進(jin)行(xing)更新(xin)(xin)，可以以線上、線下多(duo)種方(fang)式進(jin)行(xing)升級(ji)更新(xin)(xin)。更新(xin)(xin)頻率不少于4次/年。

·        

測試(shi)gao效(xiao)、速(su)(su)度(du)(du)(du)在可接受的范(fan)圍內。如測試(shi)速(su)(su)度(du)(du)(du)不低于1萬行代(dai)碼/分鐘。可以隨著CPU核(he)數和內存的增加(jia)大幅提高測試(shi)速(su)(su)度(du)(du)(du)。

·        

提供(gong)靈活的(de)掃描分(fen)析方式，如支持用(yong)IDE插件(jian)直接(jie)掃描程序的(de)目(mu)錄(lu)，支持在命令行(xing)下掃描等(deng)。

Fortify軟件

強化靜態代碼分析器

使軟件更快地生產

Fortify軟件如何(he)工作(zuo)？

Fortify是用于查找(zhao)軟件代碼(ma)中的(de)(de)安全漏(lou)洞的(de)(de)SCA。我(wo)只是好奇(qi)這個軟件在內部工作。我(wo)知道你需要配置(zhi)一組(zu)代碼(ma)將(jiang)被運(yun)行的(de)(de)規則。但(dan)是如何才能在代碼(ma)中找(zhao)到漏(lou)洞。

有人有什么想法嗎？

提前致謝。

強化

任何想(xiang)法如(ru)何適(shi)用(yong)于iOS應用(yong)程序？ Fortify是否有任何Mac軟件(jian)通過我們(men)可以掃描iOS代(dai)碼Objective-C / Swift代(dai)碼？ - 

HP Fortify SCA有(you)6個分(fen)(fen)析(xi)(xi)器(qi)：數據流(liu)，控制流(liu)，語義，結構，配置和緩沖。每個分(fen)(fen)析(xi)(xi)器(qi)都會發(fa)現不同類型的漏(lou)洞。

數(shu)據(ju)流量此分析儀檢測潛(qian)在的(de)(de)漏洞，這些漏洞涉及受到(dao)潛(qian)在危險(xian)使(shi)用(yong)(yong)的(de)(de)污染(ran)數(shu)據(ju)（用(yong)(yong)戶控(kong)制(zhi)輸入(ru)(ru)）。數(shu)據(ju)流分析器使(shi)用(yong)(yong)全局(ju)的(de)(de)，程序間的(de)(de)污染(ran)傳播分析來(lai)檢測源（用(yong)(yong)戶輸入(ru)(ru)站(zhan)點(dian)）和(he)信(xin)宿（危險(xian)函(han)數(shu)調用(yong)(yong)或操(cao)作）之間的(de)(de)數(shu)據(ju)流。例如，數(shu)據(ju)流分析器檢測用(yong)(yong)戶控(kong)制(zhi)的(de)(de)長度的(de)(de)輸入(ru)(ru)字符串是否被到(dao)靜態大小的(de)(de)緩沖(chong)區(qu)中，并(bing)檢測用(yong)(yong)戶控(kong)制(zhi)的(de)(de)字符串是否用(yong)(yong)于(yu)構造SQL查詢文本。

控制(zhi)(zhi)流程此分(fen)(fen)(fen)析(xi)(xi)儀檢(jian)測潛在(zai)的危(wei)險(xian)操作(zuo)序列(lie)。通過(guo)分(fen)(fen)(fen)析(xi)(xi)程序中的控制(zhi)(zhi)流程，fortify報(bao)告(gao)中文插(cha)件，控制(zhi)(zhi)流程分(fen)(fen)(fen)析(xi)(xi)器確定一組操作(zuo)是(shi)否以一定順序執行。例如，控制(zhi)(zhi)流程分(fen)(fen)(fen)析(xi)(xi)器檢(jian)測使(shi)用(yong)時間的檢(jian)查(cha)/時間問題和未(wei)初(chu)始(shi)化的變量(liang)，并檢(jian)查(cha)在(zai)使(shi)用(yong)之前是(shi)否正確配置了諸如XML讀取器之類的實用(yong)程序。

結(jie)構這可以檢(jian)測(ce)程序的(de)結(jie)構或定(ding)義(yi)中(zhong)潛在的(de)危險(xian)缺陷。例(li)如，結(jie)構分析器檢(jian)測(ce)對(dui)Java servlet中(zhong)成(cheng)員變量的(de)分配，識別未聲明為static final的(de)記錄器的(de)使用(yong)，以及由于總是為false的(de)謂詞(ci)將永遠不會執行的(de)死代(dai)碼的(de)實(shi)例(li)。

Fortify軟件

強化靜態代碼分析器

使軟件更快地生產

HP Fortify靜態代碼分析器

Fortify SCA 5.0提(ti)供從未在應用程序(xu)安(an)全(quan)(quan)性中提(ti)供的功能，涵蓋(gai)企業需(xu)要加(jia)速安(an)全(quan)(quan)開發(fa)的三個關(guan)鍵領(ling)域：

    - 定(ding)(ding)制 - 絕(jue)大多數今天的企(qi)業都有(you)自定(ding)(ding)義的

      應用(yong)程序，安全過程和(he)反映他們(men)的編(bian)碼風(feng)格

      競爭力。任何(he)成功(gong)的應用(yong)安全實現

      必須適(shi)應各企(qi)業(ye)發展需要(yao)的性。

      Fortify SCA 5.0使企業能夠為其創建自定義規(gui)則(ze)

      他們的任務(wu)關鍵(jian)應用程序，以及(ji)給安全人(ren)員

      和其他(ta)非開發團(tuan)隊成(cheng)員有能(neng)力創(chuang)建規則

      分鐘，而(er)不是幾天，而(er)不需(xu)要先前(qian)的編碼

      經驗。

    - 協作 - 安全審核員(yuan)的(de)擴展團隊，合規性

      ，發(fa)展主管(guan)和管(guan)理軟件(jian)

      發展跨度(du)時區(qu)和組織(zhi)圖。強化SCA 5.0

      使開發人員(yuan)和審計(ji)人員(yuan)能(neng)夠(gou)在代碼(ma)審查，安全性方(fang)面進行協(xie)作(zuo)

      錯誤(wu)分類和審核作為一個復雜的開(kai)發項目的團隊。

    - 全mian 

- Fortify幫助企業部署全mian的

      保護過去，現在(zai)和(he)未來應用的安全策(ce)略。如

      不斷變化(hua)的(de)黑(hei)ke帶來(lai)了新的(de)漏(lou)洞類(lei)

      景觀和新技術，如Web 2.0。并且(qie)繼續使用漏洞

      要(yao)發展，安全和發展團(tuan)隊必須(xu)采(cai)取(qu)一切可能的(de)步(bu)驟

      確保他們的軟(ruan)件。通過PHP和JavaScript支持，Fortify SCA

      5.0幫助開發(fa)團隊面向未來的應(ying)用程序。為了遺產

      應用程序，Fortify SCA 5.0將支持COBOL和Classic ASP

 ;     保護舊的任務關鍵(jian)型應(ying)用程序 - 特別是它(ta)們

      由SOA部署暴露。

“選擇應(ying)(ying)用程序安全(quan)測(ce)試(shi)技術時，企業應(ying)(ying)該將(jiang)這些產品(pin)集成到流xing的(de)(de)(de)開發和測(ce)試(shi)工(gong)作(zuo)室（如Eclipse或Visual Studio）中(zhong)，分析編程語言的(de)(de)(de)數量以及測(ce)試(shi)能(neng)力的(de)(de)(de)速度和規模，”Joseph說費曼，源代碼(ma)審計工(gong)具fortify報告中(zhong)文插件(jian)，Gartner副總裁兼Gartner研究(jiu)員。

“存(cun)托(tuo)信(xin)(xin)托(tuo)結算(suan)公(gong)司(si)通(tong)過(guo)其子公(gong)司(si)為股piao，公(gong)司(si)和市政(zheng)，貨(huo)幣市場工(gong)(gong)(gong)具(ju)，和擔bao證券以及非處(chu)fang衍生(sheng)工(gong)(gong)(gong)具(ju)提供，結算(suan)和信(xin)(xin)息服(fu)務，源(yuan)代碼(ma)檢測工(gong)(gong)(gong)具(ju)fortify報(bao)告中(zhong)文插件，我(wo)們(men)是共同(tong)基(ji)jin和保險交易的領xian處(chu)理(li)商，將基(ji)jin和運營商與其分銷網(wang)絡聯系起來(lai)，安全性對(dui)我(wo)們(men)的業務至關重要(yao)，“DTCC信(xin)(xin)息安全官員Jim Routh說。 “像許(xu)多企業一樣(yang)(yang)，我(wo)們(men)的軟件基(ji)礎設施是傳統(tong)應用程序和新應用程序的結合(he)，因(yin)此我(wo)們(men)需要(yao)一種解決方(fang)案，可以處(chu)理(li)我(wo)們(men)環(huan)境(jing)中(zhong)的技術多樣(yang)(yang)性，源(yuan)代碼(ma)審計工(gong)(gong)(gong)具(ju)fortify報(bao)告中(zhong)文插件，并將其輕松集成到我(wo)們(men)的開發(fa)環(huan)境(jing)中(zhong)。這樣(yang)(yang)有效“。

Fortify公(gong)司的(de)Barmak Meftah補充說(shuo)：“Fortify一直(zhi)是(shi)廣泛(fan)覆蓋語(yu)言(yan)，平臺和(he)(he)IDE（集成開(kai)發(fa)環境）的(de)，隨著這(zhe)一發(fa)布，我(wo)們(men)(men)將(jiang)領導層(ceng)擴展到四種新語(yu)言(yan)并支持RSA IDE。產品與服務副總(zong)裁(cai)。 “Fortify SCA 5.0為我(wo)們(men)(men)的(de)客戶提供了更深層(ceng)次(ci)的(de)控制，分析和(he)(he)協(xie)作，以保護他(ta)們(men)(men)免受(shou)許(xu)多流xing和(he)(he)快速發(fa)展的(de)Web 2.0編(bian)程語(yu)言(yan)和(he)(he)技術（包括JavaScript和(he)(he)PHP）中(zhong)的(de)威脅。