Fortify SCA 優(yōu)勢

1、 掃描快又準

? 在開發(fā)早期就捕獲了大部分代碼相關性問題；

? 識別并消除源代碼、二進制代碼或字節(jié)代碼中的漏洞；

? 支持 27 種編程語言中 815 種的漏洞類別，并跨越超過 100 萬個獨立的 API；

?在 OWASP 1.2b 基準測驗中，源代碼掃描工具fortify掃描，真實陽性率為100%，證明了高度的準確性。

2、CI/CD 管道中的安全自動化

? 識別和優(yōu)先處理構成威脅的漏洞，快速降低風險；

? 與CI/CD 工具充分集成，包括 Jenkins，源代碼檢測工具fortify掃描， ALM Octane， Jira， Atlassian Bamboo， Azure DevOps， Eclipse 和 Microsoft Visual Studio 等；

? 實時審查掃描結果并獲得訪問建議，通過代碼行導航更快地發(fā)現漏洞和與審計開展協(xié)作。

3、節(jié)約開發(fā)時間和成本

? 嵌入 SDLC 后，開發(fā)時間和成本平均降低 25%，且早期修復漏洞成本比制作/發(fā)布后階段低 30 倍；

? 發(fā)現漏洞數是原來的 2 倍，誤報率降低 95%；（數據來源：《Micro Focus Fortify 2017 商業(yè)價值可持續(xù)交付》)

? 通過在開發(fā)人員工作時對他們進行靜態(tài)應用安全測試培訓，滿足安全編碼實踐要求。

Fortify SCA 主要特性

4、 Audit Assistant 的機器學習能力，fortify掃描，為您的企業(yè)識別相關度的漏洞并確定優(yōu)先級，從而節(jié)省人工審計時間。

應用機器學習的自動化減少了人工審計時間，以擴大靜態(tài)應用安全性測試的 ROI。好處在于：

在幾分鐘內提供自動化的審計結果，地減少審計人員的工作量，以置信度對問題進行優(yōu)先排序，在整個項目中創(chuàng)建準確和一致的審計結果；

以 DevOps 的速度進行審計，整合 SCA 以構建服務器、源代碼管理服務器和更頻繁地掃描得出即時結果成為可能；

除此外，還可以減少需要深度人工檢查的問題數量；及時發(fā)現相關問題，及時排除誤報；利用現有資源擴展應用安全等等

5、 ScanCentral 可支持服務器上的輕量級打包，并提供可擴展的、集中的 Fortify 掃描基礎設施，以滿足軟件安全中心不斷增長的現代化開發(fā)需求。

6、 調整掃描以實現所需的靈活性，并可通過內部部署、按需部署或混合方式進行擴展等。

Fortify SCA快速入門

規(guī)則庫導入：

所有的掃描都是基于規(guī)則庫進行的，因此，建立掃描任務的前提條件就是你需要把檢查規(guī)則拷貝到HP_Fortify﹨HP_Fortify_SCA_and_Apps_3.80﹨Core﹨config﹨rules文件夾下，拷貝后便為掃描建立了默認的規(guī)則庫。另外，你也可以自定義規(guī)則，這些內容將會在以后逐一介紹。

建立和執(zhí)行掃描任務：

我們分別通過Java、.Net C#和C/C++三類不同編程語言項目來介紹如何快速建立和執(zhí)行掃描任務：

Java項目：

Fortify SCA對于Java項目的支持是做得蕞好的，建立掃描入口的路徑選擇非常多，常用的方法是直接執(zhí)行HP_Fortify﹨HP_Fortify_SCA_and_Apps_3.80﹨bin﹨d，啟動審計工作臺就可以直接對Java項目進行靜態(tài)掃描；另外也可以使用Fortify SCA插件，集成嵌入Eclipse來完成開發(fā)過程中的實時掃描；當然，你也可以使用原生的命令行工具完成全部工作，我們這里介紹一個通用的方法，即利用ScanWizard工具導入你的源碼項目，通過一系列設置后，會生成一個批處理腳本文件，通過批處理代替手工輸入執(zhí)行命令進行測試。

使用HP_Fortify﹨HP_Fortify_SCA_and_Apps_3.80﹨bin﹨d啟動ScanWizard工具：