源代码检测工具fortify sca-华克斯信息

1、导航并查看分析结果

在您打开一个用来查看 Fortify Source Code Analyzer (Fortify SCA) 所检测到的问题的 Audit Workbench 项目之后，您可以在 Summary（摘要）面板中审计这些问题，源代码扫描工具fortify sca，以反映这些问题的严重级别，以及对该问题执行的安全分析状态。

系统会按审计结果的严重性以及准确性，源代码检测工具fortify sca，对审计结果进行分组，并在默认情况下将问题识别为位于“Issues（问题）”面板中的 Hot（严重）列表内。单击 Warning（警告）和 Info（信息），查看分组在这些列表中的问题。

每个列表中的问题数量显示在相关按钮下面。

要检验与 Issues（问题）面板中所列问题相关的代码，选中该问题。源代码部分包含显示在源代码查看器面板中的问题，并在面板的标题中显示文件所包含问题的名称。

2、审计结果分析

本练习将会引导您浏览一下在练习 3 中使用 Fortify SCA 分析小程序产生的结果。请您检查 Fortify SCA 中各种不同分析器所发现的问题，并比较 Fortify SCA 生成的各种不同输出格式。

请考虑 UserServ.java 的内容：

Fortify自定义规则

1). 在fortify SCA安装的bin目录下找到打开自定义规则编辑器，d，如下图所示：

2). 打开编辑器后，选择File ——>Generate Rule，弹出规则向导框。

3). 自定义规则模板可以按照漏洞类型(Category)和规则类型（Rule Type）进行分类，不管是何种方式分类，这些模板大体上分为，数据污染源tainted规则，数据控制流规则，数据传递规则，以及漏洞缺陷爆发的sink规则。只要理解了这些规则模板，和开发语言的函数特征，源代码审计工具fortify sca，建立规则就简单了。

4) .选择规则包语言，fortify sca，点击next，然后填写报名，类名，函数名

5). 点击next，设置sink点

Fortify 软件安全中心（SSC）

Micro Focus Fortify 软件安全中心（SSC）是一个集中的管理存储库，为企业的整个应用安全程序提供可视性，以帮助解决整个软件组合的安全漏洞。

用户可以评估、审计、优先级排序和管理修复工作，安全测试活动，并通过管理仪表板和报告来衡量改进，以优化静态和动态应用安全测试结果。因为 Fortify SSC 服务器位于中心位置，可以接收来自不同应用的安全性测试结果（包括静态、动态和实时分析等），有助于准确描述整体企业应用安全态势。

Fortify SSC 可以对扫描结果和评估结果实现关联跟踪，并通过 Fortify Audit Workbench 或 IDE 插件（如 Fortify Plugin for Eclipse， Fortify Extension for Visual Studio）向开发人员提供这些信息。用户还可以手动或自动地将问题推送到缺陷跟踪系统中，包括 ALM Octane、JIRA、TFS/VSTS 和 Bugzilla 等。