华中fortify规则-苏州华克斯

代码质量利器：Fortify SCA使用指南

静态代码分析器SCA（Static Code Analyzer）：包含多种语言的安全相关的规则，而对于这些规则相关的违反状况则是SCA重点确认的内容。SCA可以做到快速准确定位修正场所，同时还可以定制安全规则。

在使用上SCA主要按照如下步骤进行：

步骤1: 单独运行SCA或者将SCA与构建工具进行集成

步骤2: 将代码转换为临时的中间格式

步骤3: 对转换的中间格式的代码进行扫描，生成安全合规性的报告

步骤4: 对结果进行审计，源代码审计工具fortify规则，一般通过使用Fortify Audit Workbench打开FPR（Fortify Project Results）文件或者将结果上传至SSC（Fortify Software Security Center）来进行分析，从而直接看到蕞终的结果信息

fottify全名叫：Fortify SCA ，是HP的产品 ，是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，分析的过程中与它特有的软件安全漏洞规则集进行地匹配、查找，华中fortify规则，从而将源代码中存在的安全漏洞扫描出来，源代码扫描工具fortify规则，并给予整理报告。

FortifySCA支持的21语言，分别是如下图：

Fortify SCA基本功能

1、能对软件源代码进行的检测和分析，准确的发现源代码中存在的安全漏洞和质量问题，并提供问题的有效解决建议。帮助开发人员快速的完成漏洞修复及提高应用的安全性。

2、软件能从多维度分析源代码，源代码检测工具fortify规则，包括但不限于：

数据流引擎：跟踪， 记录并分析程序中的数据传递过程所产生的安全问题。

语义引擎：分析程序中不安全的函数， 方法的使用的安全问题。

结构引擎：分析程序上下文环境， 结构中的安全问题。

控制流引擎：分析程序特定时间， 状态下执行操作指令的安全问题。

配置引擎：分析项目配置文件中的敏感信息和配置缺失的安全问题