FortifySCA可配置的保護(hù)模式

攔截惡意數(shù)據(jù)，回應(yīng)惡意的挑戰(zhàn)，執(zhí)行自訂的動(dòng)作

為生產(chǎn)下的應(yīng)用系統(tǒng)進(jìn)行執(zhí)行期的安全分析

接近零影響運(yùn)作效能

提供廣泛而充分的安全事件報(bào)告

實(shí)時(shí)監(jiān)測(cè)各種攻擊和各種跟安全有關(guān)的行為

Call Site? 監(jiān)測(cè)50種 API及偵cha12類(lèi)黑de行為

為安全事件進(jìn)行時(shí)間性關(guān)聯(lián)分析

滿足監(jiān)管機(jī)構(gòu)規(guī)定的要求

PCI， HIPPA， OWASP Top Ten

FortifySCA介紹  

支持對(duì)測(cè)試結(jié)果進(jìn)行分類(lèi)或劃分，并分發(fā)給不同的人進(jìn)行確認(rèn)和修復(fù)。

·        

對(duì)工具和安全代碼規(guī)則可以進(jìn)行集中配置和管理，使分散在不同地點(diǎn)的測(cè)試機(jī)統(tǒng)一更新，提高了效率，源代碼檢測(cè)工具fortify規(guī)則庫(kù)，保證了版本的一致性。

·        

支持將測(cè)試結(jié)果在企業(yè)內(nèi)部進(jìn)行發(fā)布，使開(kāi)發(fā)人員，測(cè)試人員，安全人員和管理人員可以通過(guò)WEB瀏覽器進(jìn)行查看和審計(jì)。實(shí)現(xiàn)多個(gè)部門(mén)之間的協(xié)同工作，加強(qiáng)對(duì)問(wèn)題的快速反應(yīng)，提高管理能力，提高工作效率。

·        

能夠按用戶和角色的不同來(lái)進(jìn)行權(quán)限的劃分，方便企業(yè)內(nèi)各個(gè)團(tuán)隊(duì)的交流和溝通，同時(shí)保證了測(cè)試結(jié)果的保密性。

Fortify軟件

強(qiáng)化靜態(tài)代碼分析器

使軟件更快地生產(chǎn)

“將FINDBUGS XML轉(zhuǎn)換為HP FORTIFY SCA FPR | MAIN | CA特權(quán)身份管理員安全研究白皮書(shū)?

強(qiáng)化針對(duì)JSSE API的SCA自定義規(guī)則濫用

安全套接字層（SSL / TLS）是使用加密過(guò)程提供身份驗(yàn)證，廣西fortify規(guī)則庫(kù)，機(jī)mi性和完整性的廣泛使用的網(wǎng)絡(luò)安全通信協(xié)議。為確保該方的身份，必須交換和驗(yàn)證X.509證書(shū)。一方當(dāng)事人進(jìn)行身份驗(yàn)證后，協(xié)議將提供加密連接。用于SSL加密的算法包括一個(gè)安全的散列函數(shù)，保證了數(shù)據(jù)的完整性。

當(dāng)使用SSL / TLS時(shí)，必須執(zhí)行以下兩個(gè)步驟，以確保中間沒(méi)有人篡改通道：

證書(shū)鏈信任驗(yàn)證：X.509證書(shū)指ding頒發(fā)證書(shū)的證書(shū)頒發(fā)機(jī)構(gòu)（CA）的名稱。服務(wù)器還向客戶端發(fā)送中間CA的證書(shū)列表到根CA。客戶端驗(yàn)證每個(gè)證書(shū)的簽名，到期（以及其他檢查范圍，例如撤銷(xiāo)，基本約束，策略約束等），從下一級(jí)到根CA的服務(wù)器證書(shū)開(kāi)始。如果算法到達(dá)鏈中的后一個(gè)證書(shū)，沒(méi)有違規(guī)，則驗(yàn)證成功。

主機(jī)名驗(yàn)證：建立信任鏈后，客戶端必須驗(yàn)證X.509證書(shū)的主題是否與所請(qǐng)求的服務(wù)器的完全限定的DNS名稱相匹配。 RFC2818規(guī)定使用SubjectAltNames和Common Name進(jìn)行向后兼容。

當(dāng)安全地使用SSL / TLS API并且可能導(dǎo)致應(yīng)用程序通過(guò)受攻擊的SSL / TLS通道傳輸敏感信息時(shí)，可能會(huì)發(fā)生以下錯(cuò)誤使用情況。

證明所有證書(shū)

應(yīng)用程序?qū)崿F(xiàn)一個(gè)自定義的TrustManager，使其邏輯將信任每個(gè)呈現(xiàn)的服務(wù)器證書(shū)，而不執(zhí)行信任鏈驗(yàn)證。

TrustManager [] trustAllCerts = new TrustManager [] {

       新的X509TrustManager（）{

...

  public void checkServerTrusted（X509Certificate [] certs，

                String authType）fortify規(guī)則庫(kù)

}

這種情況通常來(lái)自于自簽證書(shū)被廣泛使用的開(kāi)發(fā)環(huán)境。根據(jù)我們的經(jīng)驗(yàn)，源代碼檢測(cè)工具fortify規(guī)則庫(kù)，我們通常會(huì)發(fā)現(xiàn)開(kāi)發(fā)人員完全禁用證書(shū)驗(yàn)證，源代碼審計(jì)工具fortify規(guī)則庫(kù)，而不是將證書(shū)加載到密鑰庫(kù)中。這導(dǎo)致這種危險(xiǎn)的編碼模式意外地進(jìn)入生產(chǎn)版本。

當(dāng)這種情況發(fā)生時(shí)，它類(lèi)似于從煙霧探測(cè)器中取出電池：檢測(cè)器（驗(yàn)證）將仍然存在，提供錯(cuò)誤的安全感，因?yàn)樗粫?huì)檢測(cè)煙霧（不可信方）。實(shí)際上，當(dāng)客戶端連接到服務(wù)器時(shí)，驗(yàn)證例程將樂(lè)意接受任何服務(wù)器證書(shū)。

在GitHub上搜索上述弱勢(shì)代碼可以返回13，823個(gè)結(jié)果。另外在StackOverflow上，一些問(wèn)題詢問(wèn)如何忽略證書(shū)錯(cuò)誤，獲取類(lèi)似于上述易受攻擊的代碼的回復(fù)。這是關(guān)于投piao建議禁用任何信任管理。