源代码检测工具fortify一年多少钱-华克斯(推荐商家)

Fortify软件

强化静态代码分析器

使软件更快地生产

阅读强力手册

安全开发

开发人员编写代码时，尽可能早地确保修复。 DevInspect和静态代码分析器（在Premise）和Fortify on Demand将持续的安全测试和反馈直接传递给开发人员桌面。

安全测试

使静态和动态应用程序安全测试的自动化成为工作流程的一个自然部分。 软件安全中心和Fortify on Demand从一个界面提供企业级安全管理功能。

持续监控和保护

生产应用造成da的威胁。 持续监控应用程序风险的变化，执行深度安全扫描，fortify一年多少钱，并与Fortify on Demand and Application Defender实时保护应用程序。

HI-RES-290926_1.jpg

HPE Security Fortify仍然是应用程序安全测试的。

了解Gartner所说的话

fortifysca优点     

工具支持自动检测版本更新，工具和扫描规则可以方便进行更新，可以以线上、线下多种方式进行升级更新。更新频率不少于4次/年。

·        

测试gao效、速度在可接受的范围内。如测试速度不低于1万行代码/分钟。可以随着CPU核数和内存的增加大幅提高测试速度。

·        

提供灵活的扫描分析方式，如支持用IDE插件直接扫描程序的目录，支持在命令行下扫描等。

Fortify软件

强化静态代码分析器

使软件更快地生产

“将FINDBUGS XML转换为HP FORTIFY SCA FPR | MAIN | CA特权身份管理员安全研究白皮书?

强化针对JSSE API的SCA自定义规则滥用

允许所有的行动

应用程序不检查服务器发送的数字证书是否发送到客户端正在连接的URL。

Java安全套接字扩展（JSSE）提供两组API来建立安全通信，源代码扫描工具fortify一年多少钱，一个HttpsURLConnection API和一个低级SSLSocket API。

HttpsURLConnection API默认执行主机名验证，再次可以通过覆盖相应的HostnameVerifier类中的verify（）方法来禁用（在GitHub上搜索以下代码时，大约有12，800个结果）。

HostnameVerifier allHostsValid = new HostnameVerifier（）{

public boolean verify（String hostname，SSLSession session）{

         返回真

  }

};

SSLSocket API不开箱即可执行主机名验证。以下代码是Java 8片段，仅当端点标识算法与空字符串或NULL值不同时才执行主机名验证。

private void checkTrusted（X509Certificate [] chain，String authType，SSLEngine engine，boolean isClient）

throws CertificateException {

 ...

 String identityAlg = engine.getSSLParameters（）。

           getEndpointIdentificationAlgorithm（）;

 if（identityAlg！= null && identityAlg.length（）！= 0）{

           checkIdentity（session，chain [0]，identityAlg，isClient，源代码检测工具fortify一年多少钱，

                   getRequestedServerNames（发动机））;

 }

 ...

}

当SSL / TLS客户端使用原始的SSLSocketFactory而不是HttpsURLConnection包装器时，源代码检测工具fortify一年多少钱，识别算法设置为NULL，因此主机名验证被默认跳过。因此，如果攻击者在客户端连接到“domain.com”时在网络上具有MITM位置，则应用程序还将接受为“some-evil-domain.com”颁发的有效的服务器证书。

这种记录的行为被掩埋在JSSE参考指南中：

“当使用原始SSLSocket和SSLEngine类时，您应该始终在发送任何数据之前检查对等体的凭据。 SSLSocket和SSLEngine类不会自动验证URL中的主机名与对等体凭