fortify价格表-华克斯

FortifySCA系统集成和可扩展性

·        

可以支持和QC、Bugzilla等主流的质量管理系统集成。使安全测试、功能测试和性能测试发现的问题统一管理，与开发团队现有的流程相融合。  

·        

漏洞管理平台可以支持和企业LDAP域用户服务器和Email服务器的集成。 提高工作效率，fortify价格表，实现集中管理。

·        

可以支持和主流持续集成平台的整合如Hudson/Jenkins，源代码审计工具fortify价格表，实现从获取xin代码、构建编译、安全测试、结果发布的全自动化，提高工作效率，节省人力成本。

·        

可以支持和主流的黑盒Web应用安全测试产品进行黑白盒关联分析，具有强大的可扩展性，提高应用安全测试结果的准确性，并且得到的定位和修复。

Fortify软件

强化静态代码分析器

使软件更快地生产

能见度

Fortify软件安全中心是一个集中管理存储库，为您的整个appsec测试程序提供可见性和报告。仪表板突出了您的应用程序的风险，并有助于审查，管理和跟踪您的安全测试活动，优行修复工作并控制您的软件组合。

“Fortify在上市之前帮助我们找到并修复了Vital Images医liao影像软件的安全漏洞。它直接负责改进我们软件的安全状态。“

 - Tim Dawson，

Vital Image软件工程总监

“Fortify通过分析我们的软件安全架构和应用程序代码，帮助我们建立安全的开发实践。我们将继续使用Fortify软件在其整个生命周期内测试我们所有的软件，以确保其始终保持安全。

- 卢克·波隆，银行应用项目经理，

Parkeon

“在整个业务中的执行支持和购买对我们的成功至关重要。发展与安全共同努力，确保我们为客户做正确的事情，我们的业务是关键。在开发过程中发现漏洞，并教育开发人员在交付工作时思考“安全”，正在改变我们的工作和交付方式。这次旅程是与安全合作关系的巨大团队胜利，文化转变为灵活的思维方式，为未来创造更好，可持续的过程。“

 - CISO的Jennifer Cole，

ServiceMaster

Fortify软件

强化静态代码分析器

使软件更快地生产

“将FINDBUGS XML转换为HP FORTIFY SCA FPR | MAIN | CA特权身份管理员安全研究白皮书?

强化针对JSSE API的SCA自定义规则滥用

允许所有的行动

应用程序不检查服务器发送的数字证书是否发送到客户端正在连接的URL。

Java安全套接字扩展（JSSE）提供两组API来建立安全通信，一个HttpsURLConnection API和一个低级SSLSocket API。

HttpsURLConnection API默认执行主机名验证，再次可以通过覆盖相应的HostnameVerifier类中的verify（）方法来禁用（在GitHub上搜索以下代码时，大约有12，800个结果）。

HostnameVerifier allHostsValid = new HostnameVerifier（）{

public boolean verify（String hostname，SSLSession session）{

         返回真

  }

};

SSLSocket API不开箱即可执行主机名验证。以下代码是Java 8片段，仅当端点标识算法与空字符串或NULL值不同时才执行主机名验证。

private void checkTrusted（X509Certificate [] chain，String authType，SSLEngine engine，boolean isClient）

throws CertificateException {

 ...

 String identityAlg = engine.getSSLParameters（）。

           getEndpointIdentificationAlgorithm（）;

 if（identityAlg！= null && identityAlg.length（）！= 0）{

           checkIdentity（session，源代码检测工具fortify价格表，chain [0]，源代码审计工具fortify价格表，identityAlg，isClient，

                   getRequestedServerNames（发动机））;

 }

 ...

}

当SSL / TLS客户端使用原始的SSLSocketFactory而不是HttpsURLConnection包装器时，识别算法设置为NULL，因此主机名验证被默认跳过。因此，如果攻击者在客户端连接到“”时在网络上具有MITM位置，则应用程序还将接受为“some-evil-”颁发的有效的服务器证书。

这种记录的行为被掩埋在JSSE参考指南中：

“当使用原始SSLSocket和SSLEngine类时，您应该始终在发送任何数据之前检查对等体的凭据。 SSLSocket和SSLEngine类不会自动验证URL中的主机名与对等体凭