苏州华克斯-华南fortify规则库

关于苏州华克斯信息科技有限公司

专门的测试及安全产品服务提供商

Fortify | Webinspect | AppScan | SonarQube | 极狐GitLab

LoadRunner | UFT（QTP) | ALM（QC）

Micro Focus 铂金合作伙伴 | SonarQube中国代理

极狐GitLab铂金级合伙伴  | HCL中国合作伙伴

设置

这组说明介绍如何配置插件以运行本地 Fortify 静态代码分析器扫描，源代码审计工具fortify规则库，将分析结果上传到软件安全中心，然后在 Jenkins 中查看分析结果。您还可以使用 ScanCentral SAST 运行分析。有关说明，请参阅完整文档。

创建 CIToken 类型的身份验证令牌。登录 Fortify 软件安全中心，单击“管理”选项卡，然后在左侧窗格中选择“令牌管理>用户”。单击“新建”创建 CIToken 类型的身份验证令牌，源代码扫描工具fortify规则库，然后单击“保存”。对话框底部的令牌。

在 Jenkins 中，安装 Fortify 插件。

从“Jenkins”菜单中，选择“Jenkins”>“管理 Jenkins”>“配置系统”。要根据结果触发不稳定构建并在 Jenkins 中查看分析结果，您需要将本地运行的分析结果上传到 Fortify 软件安全中心。向下滚动到强化评估部分，然后执行以下操作：

在“SSC URL”框中，源代码检测工具fortify规则库，键入“强化软件安全中心服务器 URL”。

在“身份验证令牌”框下方，单击“添加>Jenkins”以打开“Jenkins 凭据提供程序”对话框，并添加类型为“强化连接令牌”的凭据。添加凭据的说明，华南fortify规则库，并将在步骤 1 中创建的令牌值粘贴到“令牌”框中。

要使用 Jenkins 中配置的代理设置连接到 Fortify 软件安全中心，请选择“使用 Jenkins 代理”。

单击测试 SSC 连接。

固件firmware

功能上独立于主存储器，通常存储在只读存储器（ROM）中的指令和相关 数据的有序集。［来源：GB/T 25069-2022，3.225］

漏洞扫描检估过程

医liao器械网络安全漏洞评估是对医lioa器械的系统性审查，用于发现存在于医liao器械网络中的现有漏洞，确定安全漏洞的等级和威胁程度。

网络安全漏洞评估主要有三个目的：

1.评估产品是否存在网络安全方面的漏洞。

2.为每个漏洞确定风险等级。

3.根据漏洞的分布情况与风险等级，采取相应的措施以提升产品的网络安全性能。

在漏洞评估的过程中，漏洞扫描是确认隐藏在医liao器械及其环境中漏洞的实用方法，扫描结果能够帮助医liao器械注册申请人了解其产品网络安全所存在的问题，并做出有依据性的评估。

漏洞风险等级的确定参考CVSS评分规则，即“通用漏洞评分系统”。

CVSS是用于评估系统安全漏洞严重程度的一个行业公开标准。漏洞风险等级评分为10分—0分，漏洞评分越高，表明漏洞被go击的复杂度越低，漏洞被利用所需要的技术能力越低，漏洞被利用后对系统的影响程度越高。