Micro Focus Fortify 系列解決方案
1、用于靜態(tài)應(yīng)用安全測(cè)試（SAST）的 Fortify SCA：在開(kāi)發(fā)過(guò)程中識(shí)別漏洞，并在蕞容易修復(fù)且成本蕞低的時(shí)候優(yōu)先處理那些關(guān)鍵問(wèn)題。掃描結(jié)果存儲(chǔ)在 Fortify SSC 中。
2、用于動(dòng)態(tài)應(yīng)用安全測(cè)試（DAST）的 Fortify WebInspect：識(shí)別運(yùn)行中的網(wǎng)絡(luò)應(yīng)用程序和網(wǎng)絡(luò)服務(wù)的安全漏洞，并對(duì)其進(jìn)行優(yōu)先級(jí)排序；集成交互式應(yīng)用程序安全測(cè)試（IAST），擴(kuò)大攻擊面的覆蓋范圍以識(shí)別更多的漏洞。掃描結(jié)果可存儲(chǔ)在 Fortify SSC 中。
3、Fortify 軟件安全中心（SSC）：作為 AppSec 平臺(tái)幫助企業(yè)實(shí)現(xiàn)應(yīng)用安全程序自動(dòng)化。它為管理、開(kāi)發(fā)和安全團(tuán)隊(duì)提供了一種共同工作的方式，以分類(lèi)、跟蹤、驗(yàn)證和管理軟件安全活動(dòng)。
4、“應(yīng)用安全即服務(wù)” Fortify on Demand：通過(guò)簡(jiǎn)單而靈活的方法，快速、準(zhǔn)確地測(cè)試軟件的安全性，無(wú)需額外資源，也無(wú)需安裝和管理任何軟件。
Fortify掃描Qt項(xiàng)目
Fortify對(duì)于C++類(lèi)型的代碼掃描需要結(jié)合編譯指令實(shí)現(xiàn)，但Fortify支持的C++指令并不多，所以有些類(lèi)似使用Qt工具開(kāi)發(fā)的項(xiàng)目就需要做一定調(diào)整來(lái)適配Foritfy的掃描。使用gcc或者cl級(jí)別的命令來(lái)實(shí)現(xiàn)會(huì)很麻煩，因?yàn)樾枰獙?duì)于Qt的qmake工具運(yùn)行邏輯有一定深入分析，熟知其生成的Makefile以來(lái)的環(huán)境和make工具，難度較大，所以更建議以Visual Studio的Fortify插件為入口，先將Qt項(xiàng)目轉(zhuǎn)成Visual Studio項(xiàng)目，再使用插件掃描，這樣就會(huì)容易很多。
我們簡(jiǎn)單介紹一下流程:
1、在Visual Studio中安裝Qt Visual Studio Tools插件和Fortify插件。
2、在Qt插件的Qt Opt選項(xiàng)中配置編譯套件，該套件位置可以在Qt對(duì)應(yīng)版本下面，比如Qt\Qt5.12.8\5.12.8\msvc2017。
3、使用Qt插件的Open Qt Project File (.pro)...打開(kāi)對(duì)應(yīng)的Qt項(xiàng)目，并使用插件的Convert custom build steps to Qt/MSBuild選項(xiàng)，將項(xiàng)目轉(zhuǎn)成vs項(xiàng)目，并生成對(duì)應(yīng)的.vcsproj文件。
測(cè)試能成功運(yùn)行后，就可以使用Fortify進(jìn)行掃描了。步驟類(lèi)似與上面的Android項(xiàng)目，即可生成對(duì)應(yīng)的fpr文件。另外，如果想要使用命令來(lái)自動(dòng)化的進(jìn)行項(xiàng)目掃描，但不知道一個(gè)類(lèi)型的項(xiàng)目如何進(jìn)行適配，可以解壓使用插件生成的fpr文件。查看其中audit.fvdl文件中的sun.mand屬性?xún)?nèi)容，里面包含了該項(xiàng)目生成掃描中間文件的指令參數(shù)，可以參考了解如何配置自動(dòng)化的掃描平臺(tái)。
Fortify “Analysis Trace（分析跟蹤）”面板：當(dāng)您選擇某個(gè)問(wèn)題后，Analysis Trace（分析跟蹤）面板會(huì)顯示相關(guān)的 trace output。通常情況下，這是一系列進(jìn)程點(diǎn)，顯示了分析器是如何找到該問(wèn)題的。對(duì)于數(shù)據(jù)流和控制流問(wèn)題，這一系列點(diǎn)會(huì)以執(zhí)行順序顯示。
例如，如果您選擇某個(gè)與可能被數(shù)據(jù)流相關(guān)的問(wèn)題，Analysis Trace（分析跟蹤）面板會(huì)顯示這段源代碼中數(shù)據(jù)流的移動(dòng)方向。
“Analysis Trace（分析跟蹤）”面板使用以下圖標(biāo)來(lái)顯示本段源代碼中數(shù)據(jù)流的移動(dòng)方式：
表 1：分析跟蹤圖標(biāo)
Fortify是Micro Focus旗下AST （應(yīng)用程序安全測(cè)試）產(chǎn)品，其產(chǎn)品組合包括：Fortify Static Code Analyzer提供靜態(tài)代碼分析器（SAST），F(xiàn)ortify WebInspect是動(dòng)態(tài)應(yīng)用安全測(cè)試軟件（DAST），Software Security Centre是軟件安全中心（SSC）和 Application Defender 是實(shí)時(shí)應(yīng)用程序自我保護(hù)（RASP）。
Fortify 能夠提供靜態(tài)和動(dòng)態(tài)應(yīng)用程序安全測(cè)試技術(shù)，以及運(yùn)行時(shí)應(yīng)用程序監(jiān)控和保護(hù)功能。為實(shí)現(xiàn)安全監(jiān)測(cè)，F(xiàn)ortify具有源代碼安全分析，可定位漏洞產(chǎn)生的路徑，以及具有1分鐘1萬(wàn)行的掃描速度。
以上信息由專(zhuān)業(yè)從事源代碼審計(jì)工具fortify價(jià)格表的華克斯于2024/9/11 23:14:40發(fā)布
轉(zhuǎn)載請(qǐng)注明來(lái)源：http://m.chevaliers-et-troubadours.com/qyzx/hksxxkj-2812688410.html
