FortifySCA介紹

支持對測試結果進行分類或劃分，并分發(fā)給不同的人進行確認和修復。

·

對工具和安全代碼規(guī)則可以進行集中配置和管理，使分散在不同地點的測試機統(tǒng)一更新，源代碼掃描工具fortify sca，提高了效率，保證了版本的一致性。

·

支持將測試結果在企業(yè)內(nèi)部進行發(fā)布，使開發(fā)人員，測試人員，安全人員和管理人員可以通過WEB瀏覽器進行查看和審計。實現(xiàn)多個部門之間的協(xié)同工作，加強對問題的快速反應，提高管理能力，提高工作效率。

·

能夠按用戶和角色的不同來進行權限的劃分，方便企業(yè)內(nèi)各個團隊的交流和溝通，同時保證了測試結果的保密性。

Fortify軟件

強化靜態(tài)代碼分析器

使軟件更快地生產(chǎn)

閱讀強力手冊

安全開發(fā)

開發(fā)人員編寫代碼時，盡可能早地確保修復。 DevInspect和靜態(tài)代碼分析器（在Premise）和Fortify on Demand將持續(xù)的安全測試和反饋直接傳遞給開發(fā)人員桌面。

安全測試

使靜態(tài)和動態(tài)應用程序安全測試的自動化成為工作流程的一個自然部分。 軟件安全中心和Fortify on Demand從一個界面提供企業(yè)級安全管理功能。

持續(xù)監(jiān)控和保護

生產(chǎn)應用造成da的威脅。 持續(xù)監(jiān)控應用程序風險的變化，執(zhí)行深度安全掃描，并與Fortify on Demand and Application Defender實時保護應用程序。

HI-RES-g

HPE Security Fortify仍然是應用程序安全測試的。

了解Gartner所說的話

Fortify軟件

強化靜態(tài)代碼分析器

使軟件更快地生產(chǎn)

“將FINDBUGS XML轉換為HP FORTIFY SCA FPR | MAIN | CA特權身份管理員安全研究白皮書?

強化針對JSSE API的SCA自定義規(guī)則濫用

日期：2017年6月8日上午7:00

在提供GDS安全SDLC服務的同時，我們經(jīng)常開發(fā)一系列定制安全檢查和靜態(tài)分析規(guī)則，以檢測我們在源代碼安全評估中發(fā)現(xiàn)的不安全的編碼模式。這些模式可以代表特定于正在評估的應用程序，其架構/設計，使用的組件或甚至開發(fā)團隊本身的常見安全漏洞或的安全弱點。這些自定義規(guī)則經(jīng)常被開發(fā)以針對特定語言，并且可以根據(jù)客戶端使用的或者舒服的方式在特定的靜態(tài)分析工具中實現(xiàn) - 以前的例子包括FindBugs，PMD，Visual Studio以及Fortify SCA。

使用Findbugs審核不安全代碼的Scala

為Spring MVC構建Fortify自定義規(guī)則

用PMD保護發(fā)展

在本博客文章中，我將專注于開發(fā)Fortify SCA的PoC規(guī)則，fortify sca，以針對基于Java的應用程序，然而，相同的概念可以輕松擴展到其他工具和/或開發(fā)語言。

影響Duo Mobile的近漏洞證實了Georgiev等人的分析，源代碼檢測工具fortify sca，他們展示了各種非瀏覽器軟件，庫和中間件中SSL / TLS證書驗證不正確的嚴重安全漏洞。

具體來說，在這篇文章中，源代碼審計工具fortify sca，我們專注于如何識別Java中SSL / TLS API的不安全使用，這可能導致中間人或欺騙性攻擊，從而允許惡意主機模擬受信任的攻擊。將HP Fortify SCA集成到SDLC中可以使應用程序定期有效地掃描漏洞。我們發(fā)現(xiàn)，由于SSL API濫用而導致的問題并未通過開箱即用的規(guī)則集確定，因此我們?yōu)镕ortify開發(fā)了一個全mian的12個自定義規(guī)則包。