FortifySCA系統(tǒng)集成和可擴(kuò)展性

·

可以支持和QC、Bugzilla等主流的質(zhì)量管理系統(tǒng)集成。使安全測(cè)試、功能測(cè)試和性能測(cè)試發(fā)現(xiàn)的問(wèn)題統(tǒng)一管理，與開(kāi)發(fā)團(tuán)隊(duì)現(xiàn)有的流程相融合。

·

漏洞管理平臺(tái)可以支持和企業(yè)LDAP域用戶服務(wù)器和Email服務(wù)器的集成。 提高工作效率，實(shí)現(xiàn)集中管理。

·

可以支持和主流持續(xù)集成平臺(tái)的整合如Hudson/Jenkins，實(shí)現(xiàn)從獲取xin代碼、構(gòu)建編譯、安全測(cè)試、結(jié)果發(fā)布的全自動(dòng)化，提高工作效率，節(jié)省人力成本。

·

可以支持和主流的黑盒Web應(yīng)用安全測(cè)試產(chǎn)品進(jìn)行黑白盒關(guān)聯(lián)分析，具有強(qiáng)大的可擴(kuò)展性，提高應(yīng)用安全測(cè)試結(jié)果的準(zhǔn)確性，并且得到的定位和修復(fù)。

Fortify SCA支持系統(tǒng)平臺(tái)，能掃描的語(yǔ)言種類(lèi)是的。

Fortify SCA能全mian地（五個(gè)層面）分析源代碼中存在的問(wèn)題。

Fortify SCA能夠掃描出來(lái)350多種漏洞，擁有目前業(yè)界權(quán)wei的安全規(guī)則庫(kù)，與世界同步。

Fortify SCA的測(cè)試掃描速度快，約1分鐘1萬(wàn)行。

Fortify SCA提供了強(qiáng)大的審計(jì)平臺(tái)和詳細(xì)的漏洞信息。

Fortify SCA提供了漏洞的詳細(xì)中文說(shuō)明和相應(yīng)的修復(fù)建議。

Fortify SCA操作簡(jiǎn)單，使用方便，易用，界面設(shè)計(jì)人性化。

Fortify SCA獲得多項(xiàng)國(guó)際大獎(jiǎng)，目前市場(chǎng)占有率第yi。

Fortify SCA是唯yi一個(gè)被國(guó)內(nèi)多家安全測(cè)評(píng)機(jī)構(gòu)所認(rèn)可并使用的代碼安全測(cè)試產(chǎn)品。

Fortify SCA 在600多家客戶，在國(guó)內(nèi)也有30多家客戶，豐富的實(shí)施經(jīng)驗(yàn)，國(guó)內(nèi)擁有的服務(wù)團(tuán)隊(duì)和售后支持團(tuán)隊(duì)。

Fortify軟件

強(qiáng)化靜態(tài)代碼分析器

使軟件更快地生產(chǎn)

“將FINDBUGS XML轉(zhuǎn)換為HP FORTIFY SCA FPR | MAIN | CA特權(quán)身份管理員安全研究白皮書(shū)?

強(qiáng)化針對(duì)JSSE API的SCA自定義規(guī)則濫用

允許所有的行動(dòng)

應(yīng)用程序不檢查服務(wù)器發(fā)送的數(shù)字證書(shū)是否發(fā)送到客戶端正在連接的URL。

Java安全套接字?jǐn)U展（JSSE）提供兩組API來(lái)建立安全通信，一個(gè)HttpsURLConnection API和一個(gè)低級(jí)SSLSocket API。

HttpsURLConnection API默認(rèn)執(zhí)行主機(jī)名驗(yàn)證，再次可以通過(guò)覆蓋相應(yīng)的HostnameVerifier類(lèi)中的verify（）方法來(lái)禁用（在GitHub上搜索以下代碼時(shí)，大約有12，源代碼檢測(cè)工具fortify版本，800個(gè)結(jié)果）。

HostnameVerifier allHostsValid = new HostnameVerifier（）{

public boolean verify（String hostname，SSLSession session）{

返回真

}

};

SSLSocket API不開(kāi)箱即可執(zhí)行主機(jī)名驗(yàn)證。以下代碼是Java 8片段，僅當(dāng)端點(diǎn)標(biāo)識(shí)算法與空字符串或NULL值不同時(shí)才執(zhí)行主機(jī)名驗(yàn)證。

private void checkTrusted（X509Certificate [] chain，String authType，SSLEngine engine，源代碼審計(jì)工具fortify版本，boolean isClient）

throws CertificateException {

...

String identityAlg = engine.getSSLParameters（）。

getEndpointIdentificationAlgorithm（）;

if（identityAlg！= null && identityAlg.length（）！= 0）{

checkIdentity（session，chain [0]，源代碼檢測(cè)工具fortify版本，identityAlg，isClient，

getRequestedServerNames（發(fā)動(dòng)機(jī)））;

}

...

}

當(dāng)SSL / TLS客戶端使用原始的SSLSocketFactory而不是HttpsURLConnection包裝器時(shí)，fortify版本，識(shí)別算法設(shè)置為NULL，因此主機(jī)名驗(yàn)證被默認(rèn)跳過(guò)。因此，如果攻擊者在客戶端連接到“”時(shí)在網(wǎng)絡(luò)上具有MITM位置，則應(yīng)用程序還將接受為“some-evil-”頒發(fā)的有效的服務(wù)器證書(shū)。

這種記錄的行為被掩埋在JSSE參考指南中：

“當(dāng)使用原始SSLSocket和SSLEngine類(lèi)時(shí)，您應(yīng)該始終在發(fā)送任何數(shù)據(jù)之前檢查對(duì)等體的憑據(jù)。 SSLSocket和SSLEngine類(lèi)不會(huì)自動(dòng)驗(yàn)證URL中的主機(jī)名與對(duì)等體憑