源代码检测工具fortify采购-华克斯

Fortify审计界面概述

下图显示了“Auditing（审计）”界面中的 Webgoat FPR 文件示例。

Audit Workbench 界面：

Audit Workbench 界面由以下几个面板组成：

“Issues（问题）”面板

“Analysis Trace（分析跟踪）”面板

“Project Summary（项目摘要）”面板

“Source Code Viewer（源代码查看器）”面板

“Function（函数）”面板

“Issue Auditing（问题审计）”面板

“Issues（问题）”面板

使用 Issues（问题）面板，您可以对希望审计的问题进行分组和选择。该面板由下列元素组成：

“Filter Set（过滤器组）”下拉列表

“Folders（文件夹）”选项卡

Group by（分组方式）

“Search（搜索）”框

Fortify “Function（函数）”面板：

Function（函数）面板显示了项目中的函数/方法列表。使用“Function（函数）”面板可找出该函数在源代码中的位置，了解函数是否应用和匹配某个规则，以及编写和验证自定义规则。

“Function（函数）”面板具有以下选项：

Show（显示）：确定显示在该列表中的函数。

Group by（分组方式）：将函数归类到各个包和类中，显示层次结构或直接显示所有函数而不进行分组。

Include unused funct（包括未使用的函数）：显示源代码中的每个函数。默认情况下，华北fortify采购，列表中不会包含未使用的函数。

Fortify SCA 安装

About Installing Fortify Static Code Analyzer and Applicati0ns

描述了如何安装增强的静态代码分析器和应用程序。需要一个Fortify的许可证文件来完成这个过程。可以使用标准安装向导，源代码检测工具fortify采购，也可以静默地执行安装。还可以在非windows系统上执行基于文本的安装。为了获得蕞佳性能，源代码审计工具fortify采购，请尽量在扫描的代码驻留的同一本地文件系统上安装Fortify静态代码分析器。

注意:在非windows系统上，必须以拥有写权限的主目录的用户身份安装Fortify Static Code Analyzer和应用程序。不要将Fortify静态代码分析器和应用程序作为没有主目录的非根用户安装

security content安全包由安全编码规则包和外部元数据组成。安全编码规则包描述了流行语言和公共api的一般安全编码习惯用法。外部元数据包括从Fortify类别到可选类别(如CWE、OWASP Th 10和PCI)的映射。.

要升级增强的静态代码分析器和应用程序，请安装新版本并选择从以前的安装迁移设置。这个迁移保存并更新了位于/Core/config目录中的Fortify静态代码分析器工件文件。

安装新版本后，可以卸载以前的版本。有关更多信息，源代码检测工具fortify采购，请参见卸载Fortify静态代码分析器和应用程序。

注意:可以继续安装以前的版本。如果在同一个系统上安装了多个版本，那么在从命令行运行命令时将调用蕞近安装的版本。扫描来自Fortify安全插件的源代码还使用了蕞新安装的Fortify静态代码分析器版本。

如果选择不从以前的版本迁移任何设置，Fortify建议您保存以下数据的备份。