源代码检测工具fortify代理商-华克斯信息

Fortify SCA产品特性：

1．从多方面分析软件源代码，查找软件安全漏洞，是目前采用分析技术的，检查代码安全问题，其检查方式分别为：数据流、控制流、语义、配置流和代码结构

2．是目前能跨越软件不同层次和不同语言边界的静态分析技术，能安全漏洞引入的过程。

3．安全代码规则面，安全漏洞检查。目前包括150多种类别的安全漏洞，其安全代码规则多达50000多条。规则内容涉及ASP.NET， C/C++， C#， ColdFusion，Java， JSP， PL/SQL，fortify代理商， T-SQL， XML，VB.NET and other .NET等多种语言

4．支持多种国际软件安全的标准：OWASP、Payment Card Industry (PCI) Compliance、Federal Informati0n Security Management Act（FISMA）Common Weakness Enumeration（CWE）….。

5. 支持混合语言的分析，包括 ASP.NET， C/C++， C#， Java?， JSP， PL/SQL，T-SQL， VB.NET， XML and other .NET languages. Fortify SCA 支持 Windows， Solaris， Linux，源代码审计工具fortify代理商， AIX，and Mac OS ….等多种操作系统

6. 支持自定义软件安全代码规则。

7．集成软件开发环境（Microsoft Visual Studio， IBM RAD， and Eclipse.）和自动产品构建过程。

8． 基于Web接口，能对企业多个项目进行集中的安全统计、分析和管理

Fortify SCA 优势

1、 扫描快又准

? 在开发早期就捕获了大部分代码相关性问题；

? 识别并消除源代码、二进制代码或字节代码中的漏洞；

? 支持 27 种编程语言中 815 种的漏洞类别，并跨越超过 100 万个独立的 API；

?在 OWASP 1.2b 基准测验中，真实阳性率为100%，证明了高度的准确性。

2、CI/CD 管道中的安全自动化

? 识别和优先处理构成威胁的漏洞，快速降低风险；

? 与CI/CD 工具充分集成，包括 Jenkins， ALM Octane， Jira，源代码检测工具fortify代理商， Atlassian Bamboo， Azure DevOps，源代码检测工具fortify代理商， Eclipse 和 Microsoft Visual Studio 等；

? 实时审查扫描结果并获得访问建议，通过代码行导航更快地发现漏洞和与审计开展协作。

3、节约开发时间和成本

? 嵌入 SDLC 后，开发时间和成本平均降低 25%，且早期修复漏洞成本比制作/发布后阶段低 30 倍；

? 发现漏洞数是原来的 2 倍，误报率降低 95%；（数据来源：《Micro Focus Fortify 2017 商业价值可持续交付》)

? 通过在开发人员工作时对他们进行静态应用安全测试培训，满足安全编码实践要求。

Fortify SCA覆盖规则

以下演示覆盖一个秘钥硬编码的规则：

还是以fortify安装目录下自带的php示例代码(Samples﹨basic﹨php)为例

由于没有加密机和密码托管平台，数据库密码只能明文写在代码或配置文件里，怎么不让fortify重复报出这种问题呢？

写一条新规则覆盖这个id的规则，如下xml：

随便一个不会用到的保存秘钥的变量名pasword，覆盖了这条规则