FortifySCA掃描分析功能要求

·        

跟蹤可yi的輸入數(shù)據(jù)，直到該數(shù)據(jù)被不安全使用的全過(guò)程中，源代碼掃描工具fortify，分析數(shù)據(jù)使用中的安全隱患。

·        

發(fā)現(xiàn)易于遭受攻擊的語(yǔ)言函數(shù)或者過(guò)程，并理解它們使用的上下文環(huán)境，識(shí)別出使用特定函數(shù)或者過(guò)程帶來(lái)的軟件安全的隱患。

·        

jing確地跟蹤業(yè)務(wù)操作的先后順序，發(fā)現(xiàn)因代碼構(gòu)造不合理而帶來(lái)的軟件安全隱患。

·        

自動(dòng)分析軟件的配置和代碼的關(guān)系，發(fā)現(xiàn)在軟件配置和代碼之間，由于配置丟失或者不一致而帶來(lái)的安全隱患。

Fortify軟件

強(qiáng)化靜態(tài)代碼分析器

使軟件更快地生產(chǎn)

轉(zhuǎn)移景觀

語(yǔ)言支持也得到了擴(kuò)展，完全支持PHP，JavaScript，COBOL以及所有添加到版本5的ASP和Basic的classic-non-.NET版本。Fortify SCA以前一直支持C＃，VB.NET，Java和C / C ++，ColdFusion和存儲(chǔ)過(guò)程語(yǔ)言，如Microsoft TSQL和Oracle PL / SQL。

“從基于COM的語(yǔ)言到.NET版本的遷移速度并沒(méi)有像我們以前那樣快，”Meftah解釋說(shuō)。 “這些COM語(yǔ)言的安裝基礎(chǔ)很大，我們從我們的安裝基礎(chǔ)和其他方面得到了很多查詢。”

SANS Institute互聯(lián)網(wǎng)風(fēng)暴中心研究員Johannes Ullrich表示，F(xiàn)ortify SCA等代碼分析工具對(duì)于成長(zhǎng)型企業(yè)開(kāi)發(fā)商店至關(guān)重要。

“我認(rèn)為[代碼分析工具]的部署方式不足，我看到很少使用它們，通常只適用于大型企業(yè)項(xiàng)目，”Ullrich說(shuō)。 “這是一個(gè)巨大的時(shí)間保護(hù)，它沒(méi)有找到所有的漏洞，但它找到標(biāo)準(zhǔn)的東西，它需要很多繁忙的代碼審查。

Fortify SCA旨在與現(xiàn)有工具和IDE集成，包括Microsoft Visual Studio，Eclipse和IBM Rapid Application Developer（RAD）?；贘ava的套件運(yùn)行在各種操作系統(tǒng)上，源代碼掃描工具fortify一年多少錢，包括Windows，Linux，Mac OS X和各種各樣的Unix。

許可證的基準(zhǔn)價(jià)格為每位開(kāi)發(fā)人員約1，200美元，另外還需支付維護(hù)費(fèi)用，源代碼掃描工具fortify代理商，并訂閱更新的代碼規(guī)則以防止出現(xiàn)的漏洞。

關(guān)于作者

邁克爾·德斯蒙德（Michael Desmond）是1105媒體企業(yè)計(jì)算組織的編輯兼作家。

Fortify軟件

強(qiáng)化靜態(tài)代碼分析器

使軟件更快地生產(chǎn)

如何修正HP Fortify SCA報(bào)告中的弱點(diǎn)？

常見(jiàn)的靜態(tài)程序碼掃描工具（又稱原始碼檢測(cè)，白箱掃描），例如HP Fortify SCA，被許多企業(yè)用來(lái)提高資訊安全的透明度以及外部的法規(guī)遵循。但是拿到報(bào)告之后怎么辦呢？

對(duì)于許多來(lái)說(shuō)，HP Fortify SCA的報(bào)告被視為麻煩制造者，因?yàn)樗鼈冸m然指出了弱點(diǎn)（不論是真的或是誤報(bào)），但卻沒(méi)有提供任何修正這些弱點(diǎn)的方法。

有沒(méi)有簡(jiǎn)單的方法能夠修正靜態(tài)程式碼掃描工具找到的弱點(diǎn)呢？

Lucent Sky AVM和靜態(tài)程序碼掃描工具一樣會(huì)指出弱點(diǎn)，同時(shí)提供即時(shí)修復(fù) - 一段安全的程式碼片段，能夠直接插入程式碼中來(lái)修正跨站腳本（XSS），SQL注入和路徑處理這些常見(jiàn)的弱點(diǎn)。

以.NET（C＃和VB.NET）和Java應(yīng)用程式來(lái)說(shuō)，Lucent Sky AVM可以修正達(dá)90％所找到的弱點(diǎn)。

一起使用HP Fortify SCA和Lucent Sky AVM

HP Fortify SCA只會(huì)告訴你弱點(diǎn)在哪里，而Lucent Sky AVM會(huì)指出它們的位置以及修正方式（并且實(shí)際為你修正他們，你喜歡的話）HP Fortify SCA是被設(shè)計(jì)來(lái)供資安人士使用，源代碼掃描工具fortify價(jià)格表，因此設(shè)計(jì)理念是找出大量的結(jié)果，再依賴資訊安全來(lái)移除其中的誤報(bào).Lucent Sky AVM則是專注于找出會(huì)真正影響應(yīng)用程式安全的弱點(diǎn)，并依照你或你的開(kāi)發(fā)與資訊安全團(tuán)隊(duì)的設(shè)定來(lái)可靠的修正這些弱點(diǎn)。你可以深入了解Lucent Sky AMV的修正流程。