Fortify SCA安全合规问题规则定制
《互联网个人信息保护指南》里指出重要数据在存储过程中应保密,包括但不限于鉴别数据和个人信息。而我们在实际审查中发现,有的应用为了排查问题方便,源代码扫描工具fortify代理商,在服务器中间件Log里记录了用户的姓名、shenfenzheng号、yinhangka号、等敏感信息。这种问题可以通过自动化代码审查发现,源代码检测工具fortify代理商,而fortify默认的规则是无法识别shenfenzheng号这种信息的,我们可以新建CharacterizationRule来完成对shenfenzheng标识的识别
1.增加对合规信息的识别
2.定制漏洞描述和修复建议





Fortify常见问题解决方法
内存不足问题
在应用Fortify SCA实施源代码扫描过程中内存不足是分析器(sourceanalyzer)经常报出的一类问题,如下:
扫描过程中:
1、com.fortify.sca.analyzer.AbortedException: There is not enough memory available
2、to complete analysis. For details on making more memory available;
There were 3 problems with insufficient memory. Results may be incomplete.
因此,我们必须对JVM参数进行调整,源代码审计工具fortify代理商,增加虚拟器内存大小。
(1)确认安装64位的Fortify SCA程序;(这是一个众所周知的JVM问题,32为虚拟机内存大小及其有限);
(2)安装一个64位的jre,并将其替换HP_Fortify﹨HP_Fortify_SCA_and_Apps_3.80﹨的jre目录(就算你安装了64位的Fortify SCA程序,该程序默认的jre仍然是32位的);

Fortify SCA如何使用!
安装fortify之后,打开
界面:
选择扫描
他问要不要更新? 如果你购买了可以选择YES。
选择之后出现如下界面
浏览意思是:扫描之后保存的结果保存在哪个路径。
然后点击下一步。
参数说明:
1、enable clean :把上一次的扫描结果清楚,除非换一个build ID,不然中间文件可能对下一次扫描产生影响。
2、enable translation: 转换,fortify代理商,把源码代码转换成nst文件
3、64: 是扫描64位的模式,sca默认扫描是32位模式。
4、-Xmx4000m:4000M大概是4G,制定内存数-Xmx4G :也可以用G定义这个参数建议加
5、-encoding: 定制编码,UTF-8比较全,工具解析代码的时候字符集转换的比较好,建议加,如果中文注释不加会是乱码。
6、-diable-source-:rendering:不加载与漏洞无关的代码到审计平台上,不建议加,这样代码显示不全。
fortify代理商-华克斯信息由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司是江苏 苏州 ,行业软件的见证者,多年来,公司贯彻执行科学管理、创新发展、诚实守信的方针,满足客户需求。在华克斯领导携全体员工热情欢迎各界人士垂询洽谈,共创华克斯更加美好的未来。