华克斯信息-fortify服务商

Fortify SCA产品特性：

1．从多方面分析软件源代码，查找软件安全漏洞，是目前采用分析技术的，检查代码安全问题，其检查方式分别为：数据流、控制流、语义、配置流和代码结构

2．是目前能跨越软件不同层次和不同语言边界的静态分析技术，能安全漏洞引入的过程。

3．安全代码规则面，安全漏洞检查。目前包括150多种类别的安全漏洞，其安全代码规则多达50000多条。规则内容涉及ASP.NET， C/C++， C#，源代码扫描工具fortify服务商， ColdFusion，源代码审计工具fortify服务商，Java， JSP， PL/SQL， T-SQL， XML，VB.NET and other .NET等多种语言

4．支持多种国际软件安全的标准：OWASP、Payment Card Industry (PCI) Compliance、Federal Informati0n Security Management Act（FISMA）Common Weakness Enumeration（CWE）….。

5. 支持混合语言的分析，包括 ASP.NET， C/C++， C#， Java?， JSP， PL/SQL，T-SQL， VB.NET，fortify服务商， XML and other .NET languages. Fortify SCA 支持 Windows， Solaris， Linux， AIX，and Mac OS ….等多种操作系统

6. 支持自定义软件安全代码规则。

7．集成软件开发环境（Microsoft Visual Studio， IBM RAD， and Eclipse.）和自动产品构建过程。

8． 基于Web接口，能对企业多个项目进行集中的安全统计、分析和管理

一、 Fortify SCA概述

1、Source Code Analysis 阶段概述

Audit Workbench 会启动 Fortify SCA“Scanning（扫描）”向导来扫描和分析源代码。该向导整合了以下几个分析阶段：

转换：使用源代码创建中间文件，源代码与一个 Build ID相关联，Build ID通常就是项目名称。

扫描与分析：扫描中间文件，分析代码，并将结果写入一个Fortify Project Results(FPR)文件。

校验：确保所有源文件均包含在扫描过程中，使用的是正确的规则包，且没有报告重大错误。

2、安全编码规则包概述

安全编码规则包是 Fortify Software 安全研究小组多年软件安全经验的体现，并且经过其不断努力改进而成。这些规则是通过对编码理论和常用编码实践的研究，而取得的软件安全知识的巨大积累，并且在 Fortify Software 安全研究小组的努力下不断扩展和改进。每个安全编码规则包均包含大量的规则，每个规则定义了一个被 source code analysis 检测出的特定异常行为。

一旦检测出安全问题，安全编码规则包会提供有关问题的信息，让开发人员能够计划并实施修复工作，这样比研究问题的安全细节更为有效。这些信息包括关于问题类别的具体信息、该问题会如何者利用，源代码检测工具fortify服务商，以及开发人员如何确保代码不受此漏洞的威胁。

安全编码规则包支持多种编程语言，也支持各种经过扩展的第三方库和配置文件。

有关当前安全编码规则包的信息，请参见《安全编码规则包参考》。

Fortify SCA 是 Fortify SSC 解决方案的一部分，通过获奖的静态分析，对源代码进行漏洞检测。包括识别安全漏洞的根本原因，将原因按严重程度排序，并就漏洞修复提供详细的代码行指导。

Fortify SCA 能帮助企业确保他们的软件是的，减少发现和修复应用程序漏洞的成本，并为安全编码建立基础。