源代码扫描工具fortify工具-华克斯

Fortify SCA如何使用！

安装fortify之后，打开

界面：

选择扫描

他问要不要更新？ 如果你购买了可以选择YES。

选择之后出现如下界面

浏览意思是：扫描之后保存的结果保存在哪个路径。

然后点击下一步。

参数说明：

1、enable clean :把上一次的扫描结果清楚，源代码审计工具fortify工具，除非换一个build ID，不然中间文件可能对下一次扫描产生影响。

2、enable translation: 转换，把源码代码转换成nst文件

3、64： 是扫描64位的模式，源代码扫描工具fortify工具，sca默认扫描是32位模式。

4、-Xmx4000m:4000M大概是4G，制定内存数-Xmx4G ：也可以用G定义这个参数建议加

5、-encoding: 定制编码，UTF-8比较全，工具解析代码的时候字符集转换的比较好，建议加，北京fortify工具，如果中文注释不加会是乱码。

6、-diable-source-:rendering:不加载与漏洞无关的代码到审计平台上，不建议加，这样代码显示不全。

Fortify SCA 是 Fortify SSC 解决方案的一部分，通过获奖的静态分析，源代码检测工具fortify工具，对源代码进行漏洞检测。包括识别安全漏洞的根本原因，将原因按严重程度排序，并就漏洞修复提供详细的代码行指导。

Fortify SCA 能帮助企业确保他们的软件是的，减少发现和修复应用程序漏洞的成本，并为安全编码建立基础。

Fortify ScanCentral DAST 新增功能

借助下一代动态应用程序安全测试功能，可以使用 ScanCentral 和现有的 Fortify Jenkins 及 Fortify Azure 插件在 CI/CD 流程中启用、扩展和自动化 DAST，从而创建更的 AppSec 方法。ScanCentral DAST 新增功能如下：

使用功能性应用程序安全测试 (FAST)

FAST 以支持 CI/CD 的方式捕获功能测试流量并将其发送到 ScanCentral DAST，进行有针对性的 DAST 扫描。与 IAST 不同，FAST 不受创建测试人员的想法限制。FAST 扫描应用程序，继续查找功能测试未公开的所有内容。

简化 API 扫描

在21.1.0版本中， 集成的ScanCentral DAST 可以简化 API 扫描，使WebInspect 传感器中的新工作流自动检测身份验证请求。

增加 Hacker Level Insights

Hacker Level Insights 是一个新框架，可对应用程序进行安全洞察。21.1.0版本中也包含了对 JavaScript 客户端框架的检测。

配置数据保留策略

在应用程序或扫描级别中配置数据保留策略，允许自动清除陈旧数据，以支持 ScanCentral DAST 数据库维护及高使用环境中的系统性能。

防止应用程序中断

如果正在运行的扫描发生了中断，或强制完成扫描但未启动新扫描时，ScanCentral DAST 将确保不会中断应用程序和扫描过程。

提供基本设置功能

基本设置使 ScanCentral DAST 管理员能够跨所有应用程序或特定应用程序扫描设置模板。管理员可以预先配置扫描模板并将其提供给用户，使用户在不了解安全知识的情况下也能扫描他们的应用程序。