Fortify SCA 是 Fortify SSC 解决方案的一部分，通过获奖的静态分析，对源代码进行漏洞检测。包括识别安全漏洞的根本原因，将原因按严重程度排序，并就漏洞修复提供详细的代码行指导。
Fortify SCA 能帮助企业确保他们的软件是值得信赖的，减少发现和修复应用程序漏洞的成本，并为安全编码建立基础。
Fortify SCA快速入门
规则库导入：
所有的扫描都是基于规则库进行的，因此，建立扫描任务的前提条件就是你需要把检查规则拷贝到HP_Fortify\HP_Fortify_SCA_and_Apps_3.80\Core\config\rules文件夹下，拷贝后便为扫描建立了默认的规则库。另外，你也可以自定义规则，这些内容将会在以后逐一介绍。
建立和执行扫描任务：
我们分别通过Java、.Net C#和C/C++三类不同编程语言项目来介绍如何快速建立和执行扫描任务：
Java项目：
Fortify SCA对于Java项目的支持是做得蕞好的，建立扫描入口的路径选择非常多，常用的方法是直接执行HP_Fortify\HP_Fortify_SCA_and_Apps_3.80\bin\d，启动审计工作台就可以直接对Java项目进行静态扫描；另外也可以使用Fortify SCA插件，集成嵌入Eclipse来完成开发过程中的实时扫描；当然，你也可以使用原生的命令行工具完成全部工作，我们这里介绍一个通用的方法，即利用ScanWizard工具导入你的源码项目，通过一系列设置后，会生成一个批处理脚本文件，通过批处理代替手工输入执行命令进行测试。
使用HP_Fortify\HP_Fortify_SCA_and_Apps_3.80\bin\d启动ScanWizard工具：
Fortify “Function（函数）”面板：
Function（函数）面板显示了项目中的函数/方法列表。使用“Function（函数）”面板可找出该函数在源代码中的位置，了解函数是否应用和匹配某个规则，以及编写和验证自定义规则。
“Function（函数）”面板具有以下选项：
Show（显示）：确定显示在该列表中的函数。
Group by（分组方式）：将函数归类到各个包和类中，显示层次结构或直接显示所有函数而不进行分组。
Include unused funct（包括未使用的函数）：显示源代码中的每个函数。默认情况下，列表中不会包含未使用的函数。
以上信息由专业从事源代码扫描工具fortify采购的华克斯于2024/3/28 15:33:21发布
转载请注明来源：http://szhou.mf1288.com/hksxxkj-2725580083.html
