源代码审计工具fortify规则-华克斯

Foritfy SCA主要包含的五大分析引擎：

数据流引擎：跟踪，记录并分析程序中的数据传递过程所产生的安全问题。

语义引擎：分析程序中不安全的函数，方法的使用的安全问题。

结构引擎：分析程序上下文环境，结构中的安全问题。

控制流引擎：分析程序特定时间，状态下执行操作指令的安全问题。

配置引擎：分析项目配置文件中的敏感信息和配置缺失的安全问题。

特有的X-Tier?：跨跃项目的上下层次，源代码审计工具fortify规则，贯穿程序来综合分析问题。

Fortify常见问题解决方法

内存不足问题

在应用Fortify SCA实施源代码扫描过程中内存不足是分析器（sourceanalyzer）经常报出的一类问题，如下：

扫描过程中：

1、com.a.analyzer.AbortedException: There is not enough memory available

2、to complete analysis.  For details on making more memory available；

There were 3 problems with insufficient memory. Results may be incomplete.

因此，我们必须对JVM参数进行调整，增加虚拟器内存大小。

（1）确认安装64位的Fortify SCA程序；（这是一个众所周知的JVM问题，32为虚拟机内存大小及其有限）；

（2）安装一个64位的jre，源代码检测工具fortify规则，并将其替换HP_Fortify﹨HP_Fortify_SCA_and_Apps_3.80﹨的jre目录（就算你安装了64位的Fortify SCA程序，该程序默认的jre仍然是32位的）；

Fortify “Source Code Viewer（源代码查看器）”面板：

“Source Code Viewer（源代码查看器）”面板显示了与在“Issues（问题）”面板中选择的问题相关联的代码段。如果“Analysis Trace（分析跟踪）”面板中的多个节点代表一个问题，则“Source Code Viewer（源代码查看器）”面板会显示与所选节点相关联的代码。

在“Source Code Viewer（源代码查看器）”面板中，您可以使用代码辅助功能创建自定义规则和新问题，源代码审计工具fortify规则，如下所示：

要为某个函数创建规则，请将光标放在该函数中，单击鼠标右键，安徽fortify规则，然后选择 Write Rule for This Function（为此函数编写规则）。

要创建新问题，请将光标放在该函数中，单击鼠标右键，然后选择 Create New Issue（创建新问题）。