源代码审计工具fortify工具-华克斯-fortify工具

Fortify SCA规则定义

Fortify sca主要对中间代码进行了数据流分析、控制流分析、代码结构分析、内容和配置文件分析。1.新建规则这里以fortify安装目录下自带的php示例代码(Samples﹨basic﹨php)为例:

我们在缺陷代码基础上增加了validate函数去做安全净化处理，源代码检测工具fortify工具，fortify sca不能识别这个函数的作用。

再次扫描后我们发现fortify sca已经可以识别我们自定义的validate函数

另外新建规则还可以使用fortify自带的自定义用户规则向导，可以通过图形化方式配置40多种规则类型。当然如果还有更高的规则定制要求，就在向导生成的xml基础上进一步更新吧。

Fortify SCA是自动静态代码分析可帮助开发人员消除漏洞，并构建安全的软件。

主要功能

1、通过集成式 SAST，安全编码；通过与 IDE 集成，源代码扫描工具fortify工具，开发人员可以在编码过程中实时发现并修复安全缺陷。

2、覆盖开发人员使用的语言；获得、准确的语言覆盖范围，并实现合规性。

3、启动快速的自动化扫描；启动针对覆盖范围或速度优化过的自动化扫描。

4、以 DevOps 速度修复问题；利用我们丰富的分析结果，深入研究源代码详细信息，使您能够快速分类并修复复杂的安全问题。

5、在 CI/CD 中自动实现安全；自动化扫描，为开发人员保证安全。

6、扩展 AppSec 程序；借助快速、高度优化的静态扫描，保护自定义的开源代码。

Fortify 静态代码分析器（SCA）利用多种算法和扩展的安全编码规则知识库，分析应用程序的源代码，及时发现可修复的漏洞。

为更好处理代码，源代码审计工具fortify工具，Fortify SCA 的工作方式与编译器存在相似性——读取并将源代码文件转换为增强的中间结构，以快速执行安全分析。分析引擎由多个专门的分析程序组成，基于安全编码规则分析代码库是否违反了安全编码实践。除此外，fortify工具，Fortify SCA 还提供规则构建器以扩展静态分析，并包含自定义规则，用户根据受众和任务特性，灵活查看分析结果。