源代碼掃描工具fortify-華克斯

FortifySCA掃描分析功能要求

·        

跟蹤可yi的輸入數(shù)據(jù)，直到該數(shù)據(jù)被不安全使用的全過程中，源代碼掃描工具fortify，分析數(shù)據(jù)使用中的安全隱患。

·        

發(fā)現(xiàn)易于遭受攻擊的語言函數(shù)或者過程，并理解它們使用的上下文環(huán)境，識別出使用特定函數(shù)或者過程帶來的軟件安全的隱患。

·        

jing確地跟蹤業(yè)務(wù)操作的先后順序，發(fā)現(xiàn)因代碼構(gòu)造不合理而帶來的軟件安全隱患。

·        

自動分析軟件的配置和代碼的關(guān)系，發(fā)現(xiàn)在軟件配置和代碼之間，由于配置丟失或者不一致而帶來的安全隱患。

Fortify軟件

強化靜態(tài)代碼分析器

使軟件更快地生產(chǎn)

轉(zhuǎn)移景觀

語言支持也得到了擴展，完全支持PHP，JavaScript，COBOL以及所有添加到版本5的ASP和Basic的classic-non-.NET版本。Fortify SCA以前一直支持C＃，VB.NET，Java和C / C ++，ColdFusion和存儲過程語言，如Microsoft TSQL和Oracle PL / SQL。

“從基于COM的語言到.NET版本的遷移速度并沒有像我們以前那樣快，”Meftah解釋說。 “這些COM語言的安裝基礎(chǔ)很大，我們從我們的安裝基礎(chǔ)和其他方面得到了很多查詢?！?/p>

SANS Institute互聯(lián)網(wǎng)風(fēng)暴中心研究員Johannes Ullrich表示，F(xiàn)ortify SCA等代碼分析工具對于成長型企業(yè)開發(fā)商店至關(guān)重要。

“我認為[代碼分析工具]的部署方式不足，我看到很少使用它們，通常只適用于大型企業(yè)項目，”Ullrich說。 “這是一個巨大的時間保護，它沒有找到所有的漏洞，但它找到標準的東西，它需要很多繁忙的代碼審查。

Fortify SCA旨在與現(xiàn)有工具和IDE集成，包括Microsoft Visual Studio，Eclipse和IBM Rapid Application Developer（RAD）?；贘ava的套件運行在各種操作系統(tǒng)上，源代碼掃描工具fortify一年多少錢，包括Windows，Linux，Mac OS X和各種各樣的Unix。

許可證的基準價格為每位開發(fā)人員約1，200美元，另外還需支付維護費用，源代碼掃描工具fortify代理商，并訂閱更新的代碼規(guī)則以防止出現(xiàn)的漏洞。

關(guān)于作者

邁克爾·德斯蒙德（Michael Desmond）是1105媒體企業(yè)計算組織的編輯兼作家。

Fortify軟件

強化靜態(tài)代碼分析器

使軟件更快地生產(chǎn)

如何修正HP Fortify SCA報告中的弱點？

常見的靜態(tài)程序碼掃描工具（又稱原始碼檢測，白箱掃描），例如HP Fortify SCA，被許多企業(yè)用來提高資訊安全的透明度以及外部的法規(guī)遵循。但是拿到報告之后怎么辦呢？

對于許多來說，HP Fortify SCA的報告被視為麻煩制造者，因為它們雖然指出了弱點（不論是真的或是誤報），但卻沒有提供任何修正這些弱點的方法。

有沒有簡單的方法能夠修正靜態(tài)程式碼掃描工具找到的弱點呢？

Lucent Sky AVM和靜態(tài)程序碼掃描工具一樣會指出弱點，同時提供即時修復(fù) - 一段安全的程式碼片段，能夠直接插入程式碼中來修正跨站腳本（XSS），SQL注入和路徑處理這些常見的弱點。

以.NET（C＃和VB.NET）和Java應(yīng)用程式來說，Lucent Sky AVM可以修正達90％所找到的弱點。

一起使用HP Fortify SCA和Lucent Sky AVM

HP Fortify SCA只會告訴你弱點在哪里，而Lucent Sky AVM會指出它們的位置以及修正方式（并且實際為你修正他們，你喜歡的話）HP Fortify SCA是被設(shè)計來供資安人士使用，源代碼掃描工具fortify價格表，因此設(shè)計理念是找出大量的結(jié)果，再依賴資訊安全來移除其中的誤報.Lucent Sky AVM則是專注于找出會真正影響應(yīng)用程式安全的弱點，并依照你或你的開發(fā)與資訊安全團隊的設(shè)定來可靠的修正這些弱點。你可以深入了解Lucent Sky AMV的修正流程。