Fortify SCA 集成生态
1、 灵活的部署选项 支持“应用安全即服务”、内部或云端部署
2、集成开发环境（IDE） Eclipse、Visual Studio、JetBrains（包括 IntelliJ）
3、 CI/CD工具 Jenkins、Bamboo、Visual Studio、Gradle、Make、Azure DevOps、GitHub、GitLab、Maven、MSBuild
4、 问题 Bugzilla, Jira, ALM Octane
5、开源安全管理 Sonatype, Snyk, WhiteSource, BlackDuck
6、 代码库 GitHub, Bitet
7、 定制的 Swaggerized API
Fortify Source Code Analysis Engine（源代码分析引擎）
采用数据流分析引擎，语义分析引擎，结构分析引擎，控制流分析引擎，配置分析引擎和特有的X-Tier从不同的方面查看代码的安全漏洞，化降低代码安全风险。
Fortify Secure Code rules：Fortify（软件安全代码规则集）
采用国际公认的安全漏洞规则和众多软件安全的建议，辅助软件开发人员、安全人员和管理人员快速掌握软件安全知识、识别软件安全漏洞和修复软件安全漏洞。其规则的分类和定义被众多国际机构采用，包括美国国土安全（CWE）标准、OWASP，PCI。。。等。
Fortify Audit Workbench （安全审计工作台）
辅助开发人员、安全审计人员对Fortify Source Code Analysis Engines（源代码分析引擎）扫描结果进行快速分析、查找、定位和区分软件安全问题严重级别。
Fortify Rules Builder（安全规则构建器）
提供自定义软件安全代码规则功能，满足特定项目环境和企业软件安全的需要。
Fortify Source Code Analysis Suite plug in （Fortify SCA IDE集成开发插件）
Fortify相比codeql的优势在于：
商用工具，拥有许多预设规则，比较成熟。规则开发模式比较局限，但是对于某些特定场景的规则开发相对简单。适合大规模规则的扫描。
Fortify是一款商业级的源码扫描工具，其工作原理和codeql类似，甚至一些规则编写的语法都很相似。
HP Fortify SCA采用的X-Tier数据流程分析技术，完整分析各种程序语言之执行流程、数据输入/输出及程序语法，即使同一个应用系统中包含了不同语言的源代码，也可以完整分析及串接。透过HP Fortify SCA持续更新的检查规则（Rulepack），让蕞新的弱点可以被发现并修补，使用者也可以自行定义审计规则，针对特殊程序编写规则或要求进行检查。
代码质量利器：Fortify SCA使用指南
静态代码分析器SCA（Static Code Analyzer）：包含多种语言的安全相关的规则，而对于这些规则相关的违反状况则是SCA重点确认的内容。SCA可以做到快速准确定位修正场所，同时还可以定制安全规则。
在使用上SCA主要按照如下步骤进行：
步骤1: 单独运行SCA或者将SCA与构建工具进行集成
步骤2: 将代码转换为临时的中间格式
步骤3: 对转换的中间格式的代码进行扫描，生成安全合规性的报告
步骤4: 对结果进行审计，一般通过使用Fortify Audit Workbench打开FPR（Fortify Project Results）文件或者将结果上传至SSC（Fortify Software Security Center）来进行分析，从而直接看到蕞终的结果信息
以上信息由专业从事源代码扫描工具fortify扫描的华克斯于2024/12/28 7:44:32发布
转载请注明来源：http://tianjin.mf1288.com/hksxxkj-2829562333.html
