fortifysca優(yōu)點(diǎn)     

工具支持自動(dòng)檢測(cè)版本更新，工具和掃描規(guī)則可以方便進(jìn)行更新，可以以線(xiàn)上、線(xiàn)下多種方式進(jìn)行升級(jí)更新。更新頻率不少于4次/年。

·        

測(cè)試gao效、速度在可接受的范圍內(nèi)。如測(cè)試速度不低于1萬(wàn)行代碼/分鐘?？梢噪S著CPU核數(shù)和內(nèi)存的增加大幅提高測(cè)試速度。

·        

提供靈活的掃描分析方式，如支持用IDE插件直接掃描程序的目錄，支持在命令行下掃描等。

Fortify軟件

強(qiáng)化靜態(tài)代碼分析器

使軟件更快地生產(chǎn)

Fortify軟件如何工作？

Fortify是用于查找軟件代碼中的安全漏洞的SCA。我只是好奇這個(gè)軟件在內(nèi)部工作。我知道你需要配置一組代碼將被運(yùn)行的規(guī)則。但是如何才能在代碼中找到漏洞。

有人有什么想法嗎？

提前致謝。

強(qiáng)化

任何想法如何適用于iOS應(yīng)用程序？ Fortify是否有任何Mac軟件通過(guò)我們可以?huà)呙鑙OS代碼Objective-C / Swift代碼？ - 

HP Fortify SCA有6個(gè)分析器：數(shù)據(jù)流，控制流，語(yǔ)義，結(jié)構(gòu)，配置和緩沖。每個(gè)分析器都會(huì)發(fā)現(xiàn)不同類(lèi)型的漏洞。

數(shù)據(jù)流量此分析儀檢測(cè)潛在的漏洞，這些漏洞涉及受到潛在危險(xiǎn)使用的污染數(shù)據(jù)（用戶(hù)控制輸入）。數(shù)據(jù)流分析器使用全局的，程序間的污染傳播分析來(lái)檢測(cè)源（用戶(hù)輸入站點(diǎn)）和信宿（危險(xiǎn)函數(shù)調(diào)用或操作）之間的數(shù)據(jù)流。例如，數(shù)據(jù)流分析器檢測(cè)用戶(hù)控制的長(zhǎng)度的輸入字符串是否被到靜態(tài)大小的緩沖區(qū)中，并檢測(cè)用戶(hù)控制的字符串是否用于構(gòu)造SQL查詢(xún)文本。

控制流程此分析儀檢測(cè)潛在的危險(xiǎn)操作序列。通過(guò)分析程序中的控制流程，fortify報(bào)告中文插件，控制流程分析器確定一組操作是否以一定順序執(zhí)行。例如，控制流程分析器檢測(cè)使用時(shí)間的檢查/時(shí)間問(wèn)題和未初始化的變量，并檢查在使用之前是否正確配置了諸如XML讀取器之類(lèi)的實(shí)用程序。

結(jié)構(gòu)這可以檢測(cè)程序的結(jié)構(gòu)或定義中潛在的危險(xiǎn)缺陷。例如，結(jié)構(gòu)分析器檢測(cè)對(duì)Java servlet中成員變量的分配，識(shí)別未聲明為static final的記錄器的使用，以及由于總是為false的謂詞將永遠(yuǎn)不會(huì)執(zhí)行的死代碼的實(shí)例。

Fortify軟件

強(qiáng)化靜態(tài)代碼分析器

使軟件更快地生產(chǎn)

HP Fortify靜態(tài)代碼分析器

Fortify SCA 5.0提供從未在應(yīng)用程序安全性中提供的功能，涵蓋企業(yè)需要加速安全開(kāi)發(fā)的三個(gè)關(guān)鍵領(lǐng)域：

    - 定制 - 絕大多數(shù)今天的企業(yè)都有自定義的

      應(yīng)用程序，安全過(guò)程和反映他們的編碼風(fēng)格

      競(jìng)爭(zhēng)力。任何成功的應(yīng)用安全實(shí)現(xiàn)

      必須適應(yīng)各企業(yè)發(fā)展需要的性。

      Fortify SCA 5.0使企業(yè)能夠?yàn)槠鋭?chuàng)建自定義規(guī)則

      他們的任務(wù)關(guān)鍵應(yīng)用程序，以及給安全人員

      和其他非開(kāi)發(fā)團(tuán)隊(duì)成員有能力創(chuàng)建規(guī)則

      分鐘，而不是幾天，而不需要先前的編碼

      經(jīng)驗(yàn)。

    - 協(xié)作 - 安全審核員的擴(kuò)展團(tuán)隊(duì)，合規(guī)性

      ，發(fā)展主管和管理軟件

      發(fā)展跨度時(shí)區(qū)和組織圖。強(qiáng)化SCA 5.0

      使開(kāi)發(fā)人員和審計(jì)人員能夠在代碼審查，安全性方面進(jìn)行協(xié)作

      錯(cuò)誤分類(lèi)和審核作為一個(gè)復(fù)雜的開(kāi)發(fā)項(xiàng)目的團(tuán)隊(duì)。

    - 全mian 

- Fortify幫助企業(yè)部署全mian的

      保護(hù)過(guò)去，現(xiàn)在和未來(lái)應(yīng)用的安全策略。如

      不斷變化的黑ke帶來(lái)了新的漏洞類(lèi)

      景觀(guān)和新技術(shù)，如Web 2.0。并且繼續(xù)使用漏洞

      要發(fā)展，安全和發(fā)展團(tuán)隊(duì)必須采取一切可能的步驟

      確保他們的軟件。通過(guò)PHP和JavaScript支持，F(xiàn)ortify SCA

      5.0幫助開(kāi)發(fā)團(tuán)隊(duì)面向未來(lái)的應(yīng)用程序。為了遺產(chǎn)

      應(yīng)用程序，F(xiàn)ortify SCA 5.0將支持COBOL和Classic ASP

      保護(hù)舊的任務(wù)關(guān)鍵型應(yīng)用程序 - 特別是它們

      由SOA部署暴露。

“選擇應(yīng)用程序安全測(cè)試技術(shù)時(shí)，企業(yè)應(yīng)該將這些產(chǎn)品集成到流xing的開(kāi)發(fā)和測(cè)試工作室（如Eclipse或Visual Studio）中，分析編程語(yǔ)言的數(shù)量以及測(cè)試能力的速度和規(guī)模，”Joseph說(shuō)費(fèi)曼，源代碼審計(jì)工具fortify報(bào)告中文插件，Gartner副總裁兼Gartner研究員。

“存托信托結(jié)算公司通過(guò)其子公司為股piao，公司和市政，貨幣市場(chǎng)工具，和擔(dān)bao證券以及非處fang衍生工具提供，結(jié)算和信息服務(wù)，源代碼檢測(cè)工具fortify報(bào)告中文插件，我們是共同基jin和保險(xiǎn)交易的領(lǐng)xian處理商，將基jin和運(yùn)營(yíng)商與其分銷(xiāo)網(wǎng)絡(luò)聯(lián)系起來(lái)，安全性對(duì)我們的業(yè)務(wù)至關(guān)重要，“DTCC信息安全官員Jim Routh說(shuō)。 “像許多企業(yè)一樣，我們的軟件基礎(chǔ)設(shè)施是傳統(tǒng)應(yīng)用程序和新應(yīng)用程序的結(jié)合，因此我們需要一種解決方案，可以處理我們環(huán)境中的技術(shù)多樣性，源代碼審計(jì)工具fortify報(bào)告中文插件，并將其輕松集成到我們的開(kāi)發(fā)環(huán)境中。這樣有效“。

Fortify公司的Barmak Meftah補(bǔ)充說(shuō)：“Fortify一直是廣泛覆蓋語(yǔ)言，平臺(tái)和IDE（集成開(kāi)發(fā)環(huán)境）的，隨著這一發(fā)布，我們將領(lǐng)導(dǎo)層擴(kuò)展到四種新語(yǔ)言并支持RSA IDE。產(chǎn)品與服務(wù)副總裁。 “Fortify SCA 5.0為我們的客戶(hù)提供了更深層次的控制，分析和協(xié)作，以保護(hù)他們免受許多流xing和快速發(fā)展的Web 2.0編程語(yǔ)言和技術(shù)（包括JavaScript和PHP）中的威脅。