Fortify SCA 集成生(sheng)態

1、 靈活(huo)的(de)部署選項 支持“應用安(an)全即服務(wu)”、內部或(huo)云端部署

2、集(ji)成(cheng)開發環(huan)境(jing)（IDE） Eclipse、Visual Studio、JetBrains（包括(kuo) IntelliJ）

3、 CI/CD工具 Jenkins、Bamboo、Visual Studio、Gradle、Make、Azure DevOps、GitHub、GitLab、Maven、MSBuild

4、 問題 Bugzilla， Jira， ALM Octane

5、開(kai)源安全(quan)管理(li) Sonatype， Snyk， WhiteSource， BlackDuck

6、 代碼庫 GitHub，fortify采購， Bitet

7、 定制的 Swaggerized API

代碼質量(liang)利(li)器(qi)：Fortify SCA使用指南

靜態代碼(ma)分析(xi)器(qi)SCA（Static Code Analyzer）：包含多(duo)種(zhong)語言(yan)的安全(quan)(quan)相關的規則(ze)，而對(dui)于這(zhe)些規則(ze)相關的違反狀況則(ze)是(shi)SCA重點確認的內容。SCA可以(yi)做到快速(su)準(zhun)確定位修正場所(suo)，同時還可以(yi)定制安全(quan)(quan)規則(ze)。

在使用上SCA主要按照如(ru)下步驟進(jin)行：

步驟1: 單獨運行(xing)SCA或者將SCA與(yu)構(gou)建工具進行(xing)集成(cheng)

步驟(zou)2: 將代(dai)碼轉(zhuan)換為(wei)臨時的中間格式(shi)

步驟3: 對(dui)轉換的(de)中間格式(shi)的(de)代碼(ma)進行掃描，生(sheng)成(cheng)安全合規性的(de)報告

步(bu)驟4: 對結(jie)果(guo)進行(xing)審計，一般通過使用(yong)Fortify Audit Workbench打開FPR（Fortify Project Results）文件或者將結(jie)果(guo)上傳至SSC（Fortify Software Security Center）來(lai)進行(xing)分析(xi)，源(yuan)代(dai)碼(ma)掃(sao)描工(gong)具fortify采(cai)購，從而直接(jie)看到蕞終的(de)結(jie)果(guo)信(xin)息

Fortify掃描Qt項目

Fortify對(dui)(dui)于C++類型的(de)代(dai)碼掃(sao)(sao)描需(xu)要(yao)結(jie)合編譯指(zhi)令(ling)實現，但Fortify支(zhi)持(chi)的(de)C++指(zhi)令(ling)并不(bu)多，所以有(you)些類似(si)使(shi)用Qt工(gong)(gong)具(ju)(ju)開發的(de)項(xiang)目就需(xu)要(yao)做一(yi)定(ding)調整來(lai)適配Foritfy的(de)掃(sao)(sao)描。使(shi)用gcc或(huo)者(zhe)cl級別的(de)命令(ling)來(lai)實現會很麻煩(fan)，因(yin)為(wei)需(xu)要(yao)對(dui)(dui)于Qt的(de)qmake工(gong)(gong)具(ju)(ju)運(yun)行邏輯有(you)一(yi)定(ding)深入(ru)分析(xi)，熟知(zhi)其生(sheng)成的(de)Makefile以來(lai)的(de)環(huan)境和make工(gong)(gong)具(ju)(ju)，難(nan)度較大(da)，所以更建議以Visual Studio的(de)Fortify插件(jian)為(wei)入(ru)口，先將Qt項(xiang)目轉成Visual Studio項(xiang)目，再使(shi)用插件(jian)掃(sao)(sao)描，這(zhe)樣就會容易(yi)很多。

我們(men)簡單介(jie)紹一下流程:

1、在Visual Studio中安裝(zhuang)Qt Visual Studio Tools插件和(he)Fortify插件。

2、在(zai)Qt插件(jian)(jian)的Qt Opt選項中配(pei)置編譯套件(jian)(jian)，源代碼(ma)檢測工具fortify采購(gou)，該套件(jian)(jian)位置可以在(zai)Qt對應版(ban)本下(xia)面，比如Qt﹨Qt5.12.8﹨5.12.8﹨msvc2017。

3、使用Qt插(cha)件(jian)的Open Qt Project File (.pro)...打(da)開對應的Qt項(xiang)目(mu)，并(bing)使用插(cha)件(jian)的Convert custom build steps to Qt/MSBuild選項(xiang)，將(jiang)項(xiang)目(mu)轉成vs項(xiang)目(mu)，并(bing)生成對應的.vcsproj文件(jian)。

測試能成(cheng)功運行后，就可以使用Fortify進行掃(sao)(sao)描(miao)了(le)。步(bu)驟(zou)類(lei)似與上面的(de)(de)(de)Android項(xiang)目(mu)(mu)(mu)(mu)，即可生成(cheng)對應(ying)的(de)(de)(de)fpr文件(jian)。另(ling)外，如果想要(yao)使用命令來自動(dong)化的(de)(de)(de)進行項(xiang)目(mu)(mu)(mu)(mu)掃(sao)(sao)描(miao)，但不知道一個類(lei)型的(de)(de)(de)項(xiang)目(mu)(mu)(mu)(mu)如何(he)進行適配，可以解壓使用插件(jian)生成(cheng)的(de)(de)(de)fpr文件(jian)。查看其中(zhong)audit.fvdl文件(jian)中(zhong)的(de)(de)(de)sun.mand屬性(xing)內(nei)容(rong)，里面包含了(le)該項(xiang)目(mu)(mu)(mu)(mu)生成(cheng)掃(sao)(sao)描(miao)中(zhong)間(jian)文件(jian)的(de)(de)(de)指(zhi)令參數，可以參考了(le)解如何(he)配置自動(dong)化的(de)(de)(de)掃(sao)(sao)描(miao)平臺。