源代码检测工具fortify扫描-苏州华克斯信息

Fortify自定义规则

1). 在fortify SCA安装的bin目录下找到打开自定义规则编辑器，d，如下图所示：

2). 打开编辑器后，选择File ——>Generate Rule，弹出规则向导框。

3). 自定义规则模板可以按照漏洞类型(Category)和规则类型（Rule Type）进行分类，不管是何种方式分类，这些模板大体上分为，数据污染源tainted规则，源代码扫描工具fortify扫描，数据控制流规则，数据传递规则，以及漏洞缺陷爆发的sink规则。只要理解了这些规则模板，和开发语言的函数特征，建立规则就简单了。

4) .选择规则包语言，源代码检测工具fortify扫描，点击next，然后填写报名，类名，函数名

5). 点击next，设置sink点

代码质量利器：Fortify SCA使用指南

静态代码分析器SCA（Static Code Analyzer）：包含多种语言的安全相关的规则，而对于这些规则相关的违反状况则是SCA重点确认的内容。SCA可以做到快速准确定位修正场所，同时还可以定制安全规则。

在使用上SCA主要按照如下步骤进行：

步骤1: 单独运行SCA或者将SCA与构建工具进行集成

步骤2: 将代码转换为临时的中间格式

步骤3: 对转换的中间格式的代码进行扫描，生成安全合规性的报告

步骤4: 对结果进行审计，一般通过使用Fortify Audit Workbench打开FPR（Fortify Project Results）文件或者将结果上传至SSC（Fortify Software Security Center）来进行分析，从而直接看到蕞终的结果信息

Fortify 审计

Fortify扫描后生成的fpr文件，源代码扫描工具fortify扫描，就是我们审计的目标。Fortify会将源码信息和识别到的风险记录下来。

使用Fortify Audit Workbench打开文件后；左上角的小窗口会列出所有识别出来的潜在风险，双击即可查看对应位置代码。这里是一个在日志中打印IMEI的风险项，左下角可以看到整个数据链路，fortify扫描，了解数据的传递路径。视图中上位置是代码窗口，可以看到已经将危险代码标识出来。如果代码窗口中的中文显示乱码，往往是因为Fortify默认的解析字节码是GBK，可以在选中代码文件后，点击Edit->Set Encoding...选项，设置正确的编码方式即可。中下位置则是对于规则的介绍，协助安全工程师确定问题，识别风险。右侧的则是所有依赖的代码的路径。

在我们审计过程中，如果发现问题是误报，可以右键风险项，选择Hide in AWB，即可隐藏误报问题。

然后是生成报告，我们可以选择生成两种报告：

BIRT是统计报告，可以按照不同标准显示各种类型风险的统计信息。也可以选择一些我们认定是误报的项，是否显示。

Legacy表示信息的留存，该报告会将各风险项的信息依次打印出来，可以提供给业务确认风险。