99热免费,女高潮大叫喷水流白浆,精品老肥婆88AV,美女后入视频,日韩h

首頁> 熱點(diǎn) > > 正文

代碼審計工具Fortify基本使用

2023-07-11 21:33:17 來源：博客園

最近接觸到一款代碼審計的工具 --- Fortify SCA and Applications 22.2.0，現(xiàn)就其基本使用做一簡單介紹！


(資料圖)

Fortify是一個應(yīng)用安全測試軟件，是Micro Focus旗下AST（應(yīng)用程序安全測試）產(chǎn)品。Fortify能夠提供靜態(tài)和動態(tài)應(yīng)用程序安全測試技術(shù)，以及運(yùn)行時應(yīng)用程序監(jiān)控和保護(hù)功能，包括靜態(tài)代碼分析器（SAST）、動態(tài)應(yīng)用安全測試軟件（DAST）、軟件安全中心（SSC）和實(shí)時應(yīng)用程序自我保護(hù)（RASP）。Fortify具有以下特點(diǎn)：

  • 源代碼安全分析，精準(zhǔn)定位漏洞產(chǎn)生的路徑。
  • 具有1分鐘1萬行的掃描速度。
  • 啟發(fā)式掃描，探索應(yīng)用程序中的潛在風(fēng)險。
  • 云端支持，提供更加智能的代碼分析服務(wù)。

工具安裝與簡單配置

工具在Windows系統(tǒng)上安裝非常簡單，不停的點(diǎn)擊“下一步”即可完成。安裝完成后，創(chuàng)建的程序組包括4個快捷方式，如下圖所示：

  • Audit Workbench：審計工作臺
  • Custom Rules Editor:自定義規(guī)則編輯器
  • Fortify Software Documentation:在線文檔
  • Scan Wizard:掃描向?qū)?/li>

升級中文規(guī)則庫

打開Audit Workbench，點(diǎn)擊菜單“Options-->Options...”,

1.點(diǎn)擊“Security Content Management”，在“Update Security Content from Server”區(qū)的Locale中選擇“Simplified Chinese”，點(diǎn)擊“Update”按鈕，完成后如下圖所示：

如果受license限制，無法升級到最新的規(guī)則庫，那么可行的方法就是通過其他渠道獲取一個最新的中文規(guī)則庫，手工對 ExternalMetadata 及 rules 兩個文件夾的文件進(jìn)行替換。目錄位置：

C:\Program Files\Fortify\Fortify_SCA_and_Apps_22.2.0\Core\config

代碼掃描

Fortify支持很多語言掃描，其中對Java支持最好，操作簡單。

  • 啟動 Audit Workbench
  • 點(diǎn)擊“Scan Java Project...”,選定Java項目文件夾，
  • 選定JDK版本
  • 確定掃描參數(shù)，點(diǎn)擊“Scan”開始代碼掃描。

審計結(jié)果

掃描結(jié)束后，結(jié)果自動導(dǎo)入到 Audit Workbench，掃描出的問題分為4個等級：

  • Critical:嚴(yán)重
  • Hign：高
  • Medium:中
  • Low:低

對于每一個問題，可以在Audit區(qū)域進(jìn)行審計操作，Analysis分為：

  • Not an Issue:誤報
  • Reliability Issue:可靠性問題
  • Bad Practice:不良行為
  • Suspicious:可疑的
  • Exploitable:可利用的

可以查看問題的詳細(xì)說明以及處理建議，也可以導(dǎo)出PDF或XML格式的報告。如下圖所示：

以上就是代碼審計工具Fortify的基本用法。

本文到此結(jié)束，感謝您的觀看?。。?/strong>

標(biāo)簽：