Fortify軟件

強化靜態代碼分析器

使軟件更快地生產

HP Fortify靜態代碼分析器

我(wo)想知道比較WebInspect與(yu)Fortify SCA？

選項

04-01-2012 09:56 PM

我將決(jue)定(ding)僅選擇WebInspect和(he)Fortify SCA或(huo)Fortify SCA。

與(yu)Fortify SCA的WebInspect有什么(me)不(bu)同？ （例如特征(zheng)比較）

WebInspect和Fortify SCA都有用于測試如(ru)何(he)相同或不(bu)同的模(mo)塊或功(gong)能？

可以Fortify僅(jin)使用源代碼掃(sao)描還是使用URL掃(sao)描？

Re：我想知道(dao)比較WebInspect與(yu)Fortify SCA？

選項

04-05-2012 01:47 PM

在(zai)這里，您可以在(zai)WebInspect論(lun)壇中找到更好的運氣：

華克斯

WebInspect是攻(gong)擊Web應(ying)用程(cheng)序的DAST工(gong)具。 SCA是用于定位安(an)全漏洞的SAST工(gong)具，是源代碼。與(yu)任何DAST和SAST比(bi)較(jiao)一樣，它們都覆(fu)蓋(gai)著重疊和差距，而不是像維恩圖。兩(liang)者(zhe)可以在惠普的企業控制臺后分析中(zhong)匯集(ji)在一起，進(jin)行相關和審查。

WebInspect可以(yi)：

- Windows應(ying)用程序(xu)

- 只測試實時網(wang)址和網(wang)絡服務

- 黑盒測試儀，處

SCA：

- 運行在(zai)各種操(cao)作系統(tong)（Windows，* NIX，Mac）

- 可以在IDE中，從CLI或構建服(fu)務器運行(xing)

- 只測試源代碼

- 白盒測試儀，處

fortifySCA審計功(gong)能要求

·        

對(dui)安全漏洞掃描結果進行匯總，源代碼檢測工具(ju)fortify服務(wu)商，并按照問題的(de)嚴重(zhong)性和可能性進行級別的(de)合理劃(hua)分。如Critical，High，Medium，Low四個(ge)級別。

·        

用(yong)戶能夠根據(ju)企業自(zi)身需要來調整和修(xiu)改問題的默認分級(ji)策略，方便審(shen)計(ji)。

·        

迅速、準確定位某(mou)一(yi)特定安全漏(lou)洞所在的源代碼行(xing)，對問題產(chan)生的整個過程進行(xing)跟蹤(zong)，并(bing)能以(yi)圖形(xing)化的形(xing)式展現。

·        

提供每個安全漏洞的中文詳(xiang)細(xi)描述(shu)和(he)較(jiao)明確(que)和(he)詳(xiang)盡(jin)的推薦修(xiu)復建議(yi)。

·        

提(ti)供(gong)與之前(qian)掃描(miao)結果(guo)的比較，fortify服務商，指出(chu)本次掃描(miao)出(chu)來的新(xin)問(wen)題，并且(qie)能(neng)夠與以前(qian)的審(shen)計結果(guo)進行合(he)并，源代(dai)碼審(shen)計工具fortify服務商，減少重復審(shen)計工作。

·        

支(zhi)持按文件名(ming)、API、漏洞(dong)(dong)類型(xing)、嚴重等級等進(jin)行分類、過濾、查詢、統計(ji)。支(zhi)持對(dui)漏洞(dong)(dong)信(xin)息(xi)的(de)全文檢(jian)索(suo)(suo)功能(neng)，可以從其中(zhong)快速(su)檢(jian)索(suo)(suo)到指ding類別或者名(ming)稱的(de)漏洞(dong)(dong)信(xin)息(xi)。

Fortify SCA產品組(zu)件及功能(neng)

Source

Code

Analysis

Engine（源(yuan)代碼(ma)分析引擎）

 數據流(liu)分析引擎-----跟蹤，記錄并分析程序中的(de)數據傳遞過程的(de)安(an)全問題(ti)

 語義(yi)分析引擎-----分析程(cheng)序中不(bu)安全的(de)(de)函數，方法的(de)(de)使用的(de)(de)安全問題

 結構分析(xi)引擎-----分析(xi)程序上下文環境(jing)，結構中的安全問題

 控制流分析(xi)引擎-----分析(xi)程序特定(ding)時間，狀態下執(zhi)行操作指令的安全問題

 配置分析引(yin)擎

-----分析項目配(pei)置文件中的敏(min)感(gan)信息和(he)配(pei)置缺(que)失的安全(quan)問題

 特(te)有的X-Tier?跟蹤qi-----跨躍(yue)項(xiang)目的上下層次，貫穿(chuan)程(cheng)序來綜(zong)合分析問題

Secure

Coding

Rulepacks

?（安全(quan)編碼(ma)規(gui)則包）

Audit

Workbench（審查工作臺）

Custom

Rule

Editor

&

Custom

RuleWizard(規則自(zi)定(ding)義編(bian)輯器(qi)和(he)向導)

DeveloperDesktop

(IDE

插件）

Fortify SCA 分(fen)析安全漏(lou)洞的標(biao)準

OWASP top 2004/2007/2010/2013/2014(開放式Web應用程序安全項目)

2. PCI1.1/1.2/2.0/3.0(國際(ji)信(xin)用ka資料安全

技術PCI標準)

3. WASC24+2(Web應用安全聯合威脅分類)

4. NIST SP800-53Rev.4(美(mei)國與技術研究院)

5. FISMA(聯邦信息安全(quan)管理(li)法案)

6. SANS Top25 2009/2010/2011(IT安全與(yu)研究組織)

7. CWE(MITRE公司安全(quan)漏洞詞典)