西南fortify版本-苏州华克斯信息

在 Fortify SCA 转换阶段，该文件夹会变成蓝色，且文件会添加到类路径中：

选择项目的 Java 版本。

输入 Build ID。默认情况下，Build ID 为根目录。

输入 Fortify SCA 在分析阶段生成的 FPR 的路径和文件名。

单击 Next（下一步）。

系统会显示“Commandline Builder（命令行构建器）”对话框。

命令构建器

要跳过某一阶段，请取消勾选 Enable Clean（启用清除）、Enable Translation（启用转换）或 Enable Scan（启用扫描）复选框。

Fortify SAST 新增语言支持

提供27种以上的主要语言及其框架的准确支持和敏捷更新。之后将添加更多新的语言版本，从根本上改进、简化工作方式。以下语言更新已添加到 Fortify Static 代码分析器：

.NET

增加对 .NET 5.0、C# 9、 Blazor 语言和框架的支持。

MSBuild Support Update

增加对16.8和16.9版本的支持。

Go

增加对1.15和1.16版本的支持；增加对 GOPROXY 环境变量的支持。

Java

更新 JSP 翻译以减少误报；改进字节码分析。

JavaScript

增加对 TypeScript 4.1及Angular 10、11语言和框架的支持。

Kotlin

增加对 Kotlin 1.4.20版本的支持。

PHP

增加对 PHP 7.2、7.3、7.4及8.0版本的支持。

Python

增加对Python 3.9、Django 3.1语言和框架的支持。

Swift/Obj-C

增加对 Xcode 12.4版本的支持。

Operating Systems (Linux)

增加对以下 Linux 服务器的支持：1. SUSE Linux Enterprise Server 15

2. Red Hat Enterprise Linux 8.2

3. CentOS Linux 7.6-1810 and 8.2-2004

4. Ubuntu 20.04.1 LTS

Micro Focus Visual COBOL (Technology Preview)

增加对 Micro Focus Visual COBOL 6.0.版本的支持。

C/C++ (Technology Preview)

使用新的基于 Clang 的翻译改进对 C++11 结构的支持。

Fortify 审计

Fortify扫描后生成的fpr文件，就是我们审计的目标。Fortify会将源码信息和识别到的风险记录下来。

使用Fortify Audit Workbench打开文件后；左上角的小窗口会列出所有识别出来的潜在风险，双击即可查看对应位置代码。这里是一个在日志中打印IMEI的风险项，源代码检测工具fortify版本，左下角可以看到整个数据链路，了解数据的传递路径。视图中上位置是代码窗口，可以看到已经将危险代码标识出来。如果代码窗口中的中文显示乱码，往往是因为Fortify默认的解析字节码是GBK，可以在选中代码文件后，点击Edit->Set Encoding...选项，源代码扫描工具fortify版本，设置正确的编码方式即可。中下位置则是对于规则的介绍，协助安全工程师确定问题，识别风险。右侧的则是所有依赖的代码的路径。

在我们审计过程中，如果发现问题是误报，可以右键风险项，西南fortify版本，选择Hide in AWB，即可隐藏误报问题。

然后是生成报告，源代码审计工具fortify版本，我们可以选择生成两种报告：

BIRT是统计报告，可以按照不同标准显示各种类型风险的统计信息。也可以选择一些我们认定是误报的项，是否显示。

Legacy表示信息的留存，该报告会将各风险项的信息依次打印出来，可以提供给业务确认风险。