Fortify SCA 主要特性
4、 Audit Assistant 的机器学习能力,为您的企业识别相关度的漏洞并确定优先级,从而节省人工审计时间。
应用机器学习的自动化减少了人工审计时间,以扩大静态应用安全性测试的 ROI。好处在于:
在几分钟内提供自动化的审计结果,地减少审计人员的工作量,以置信度对问题进行优先排序,在整个项目中创建准确和一致的审计结果;
以 DevOps 的速度进行审计,整合 SCA 以构建服务器、源代码管理服务器和更频繁地扫描得出即时结果成为可能;
除此外,还可以减少需要深度人工检查的问题数量;及时发现相关问题,及时排除误报;利用现有资源扩展应用安全等等
5、 ScanCentral 可支持服务器上的轻量级打包,并提供可扩展的、集中的 Fortify 扫描基础设施,以满足软件安全中心不断增长的现代化开发需求。
6、 调整扫描以实现所需的灵活性,并可通过内部部署、按需部署或混合方式进行扩展等。
fottify全名叫:Fortify SCA ,是HP的产品 ,是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎:数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析,分析的过程中与它特有的软件安全漏洞规则集进行地匹配、查找,从而将源代码中存在的安全漏洞扫描出来,并给予整理报告。
FortifySCA支持的21语言,分别是如下图:
当您选择某个问题后,Analysis Trace(分析跟踪)面板会显示相关的 trace output。通常情况下,这是一系列进程点,显示了分析器是如何找到该问题的。对于数据流和控制流问题,这一系列点会以执行顺序显示。
例如,如果您选择某个与可能被数据流相关的问题,Analysis Trace(分析跟踪)面板会显示这段源代码中数据流的移动方向。
“Analysis Trace(分析跟踪)”面板使用以下图标来显示本段源代码中数据流的移动方式:
表 1:分析跟踪图标
Foritfy SCA主要包含的五大分析引擎:
数据流引擎:跟踪,记录并分析程序中的数据传递过程所产生的安全问题。
语义引擎:分析程序中不安全的函数,方法的使用的安全问题。
结构引擎:分析程序上下文环境,结构中的安全问题。
控制流引擎:分析程序特定时间,状态下执行操作指令的安全问题。
配置引擎:分析项目配置文件中的敏感信息和配置缺失的安全问题。
特有的X-Tier™:跨跃项目的上下层次,贯穿程序来综合分析问题。
以上信息由专业从事源代码检测工具fortify扫描的华克斯于2024/6/27 6:11:26发布
转载请注明来源:http://szhou.mf1288.com/hksxxkj-2776412919.html