天津fortify价格-苏州华克斯公司

FortifySCA服务概述

软件源代码是软件需求、设计和实现的终载体，源代码安全风险评估发现代码构造期间引入实现级别的安全漏洞，并为这些编码错误建议补救措施。源代码安全风险评估对现有代码库进行分析，并对导致安全漏洞的代码构造进行定位。包括但不限于OWASP Top 10、PCI 、CWE、CVE、SANS20、SOX 等国际组织公布的软件安全漏洞。

我们的安全团队将静态分析工具和手动审查相结合来尽可能揭示所有的可能存在的安全漏洞。

Fortify软件

强化静态代码分析器

使软件更快地生产

“将FINDBUGS XML转换为HP FORTIFY SCA FPR | MAIN | CA特权身份管理员安全研究白皮书?

强化针对JSSE API的SCA自定义规则滥用

我们的贡献：强制性的SCA规则

为了检测上述不安全的用法，我们在HP Fortify SCA的12个自定义规则中对以下检查进行了编码。这些规则确定了依赖于JSSE和Apache HTTPClient的代码中的问题，源代码检测工具fortify价格，因为它们是厚客户端和Android应用程序的广泛使用的库。

超许可主机名验证器：当代码声明一个HostnameVerifier时，该规则被触发，源代码审计工具fortify价格，并且它总是返回'true'。

函数f：f.name是“verify”和f.pers

包含[Class：name ==“.nameVerifier”]和

f.parameters [0] .是“ng.String”和

f.parameters [1] .是“.ssl.SSLSession”和

f.是“boolean”，f包含

[ReturnStatement r：r.expression.ctantValue matches“true”]

]]>

过度允许的信任管理器：当代码声明一个TrustManager并且它不会抛出一个CertificateException时触发该规则。抛出异常是API管理意外状况的方式。

函数f：f.name是“checkServerTrusted”和

f.parameters [0] .是“curity.cert.X509Certificate”

和f.parameters [1] .是“ng.String”和

f.是“void”而不是f包含[ThrowStatement t：

t.rs包含[Class：name ==

“（curity.cert.CertificateException | curity.cert.CertificateException）”]

]]>

缺少主机名验证：当代码使用低级SSLSocket API并且未设置HostnameVerifier时，天津fortify价格，将触发该规则。

经常被误用：自定义HostnameVerifier：当代码使用HttpsURLConnection API并且它设置自定义主机名验证器时，该规则被触发。

经常被误用：自定义SSLSocketFactory：当代码使用HttpsURLConnection API并且它设置自定义SSLSocketFactory时，该规则被触发。

我们决定启动“经常被滥用”的规则，因为应用程序正在使用API，并且应该手动审查这些方法的重写。

规则包可在Github上获得。这些检查应始终在源代码分析期间执行，以确保代码不会引入不安全的SSL / TLS使用。

https:///GDSSecurity/JSSE_Fortify_SCA_Rules

AuthorAndrea Scaduto |评论关闭|分享文章分享文章

标签TagCustom规则，源代码检测工具fortify价格，CategoryApplication安全性中的TagSDL，CategoryCustom规则

FortifySCA可配置的保护模式

拦截恶意数据，回应恶意的挑战，执行自订的动作

为生产下的应用系统进行执行期的安全分析

接近零影响运作效能

提供广泛而充分的安全事件报告

实时监测各种攻击和各种跟安全有关的行为

Call Site? 监测50种 API及侦cha12类黑de行为

为安全事件进行时间性关联分析

满足监管机构规定的要求

PCI， HIPPA， OWASP Top Ten