fortify規(guī)則庫(kù)-蘇州華克斯公司

進(jìn)行安全掃描_Fortify Sca自定義掃描規(guī)則

源代碼編寫

1. 編碼規(guī)范盡量使用fortify認(rèn)可的安全庫(kù)函數(shù)，如ESAPI，使用ESAPI后fortify sca會(huì)把漏洞標(biāo)記為低危，源代碼審計(jì)工具fortify規(guī)則庫(kù)，是可以忽略的漏洞類型。以下是對(duì)常見(jiàn)漏洞的安全庫(kù)函數(shù)

2. 使用注解(針對(duì)java)如果我們用過(guò)SonarQube，我們會(huì)發(fā)現(xiàn)有兩種修改代碼的方式來(lái)解決誤報(bào)。

注釋

在被誤判的代碼行后面加上注釋：//NOSONAR

String name = user.getName(); //NOSONAR

注解

在類或方法上面加上 @SuppressWarnings 注解

Fortify SAST 新增語(yǔ)言支持

提供27種以上的主要語(yǔ)言及其框架的準(zhǔn)確支持和敏捷更新。之后將添加更多新的語(yǔ)言版本，從根本上改進(jìn)、簡(jiǎn)化工作方式。以下語(yǔ)言更新已添加到 Fortify Static 代碼分析器：

.NET

增加對(duì) .NET 5.0、C# 9、 Blazor 語(yǔ)言和框架的支持。

MSBuild Support Update

增加對(duì)16.8和16.9版本的支持。

Go

增加對(duì)1.15和1.16版本的支持；增加對(duì) GOPROXY 環(huán)境變量的支持。

Java

更新 JSP 翻譯以減少誤報(bào)；改進(jìn)字節(jié)碼分析。

JavaScript

增加對(duì) TypeScript 4.1及Angular 10、11語(yǔ)言和框架的支持。

Kotlin

增加對(duì) Kotlin 1.4.20版本的支持。

PHP

增加對(duì) PHP 7.2、7.3、7.4及8.0版本的支持。

Python

增加對(duì)Python 3.9、Django 3.1語(yǔ)言和框架的支持。

Swift/Obj-C

增加對(duì) Xcode 12.4版本的支持。

Operating Systems (Linux)

增加對(duì)以下 Linux 服務(wù)器的支持：1. SUSE Linux Enterprise Server 15

2. Red Hat Enterprise Linux 8.2

3. CentOS Linux 7.6-1810 and 8.2-2004

4. Ubuntu 20.04.1 LTS

Micro Focus Visual COBOL (Technology Preview)

增加對(duì) Micro Focus Visual COBOL 6.0.版本的支持。

C/C++ (Technology Preview)

使用新的基于 Clang 的翻譯改進(jìn)對(duì) C++11 結(jié)構(gòu)的支持。

Fortify SCA快速入門

規(guī)則庫(kù)導(dǎo)入：

所有的掃描都是基于規(guī)則庫(kù)進(jìn)行的，因此，源代碼掃描工具fortify規(guī)則庫(kù)，建立掃描任務(wù)的前提條件就是你需要把檢查規(guī)則拷貝到HP_Fortify﹨HP_Fortify_SCA_and_Apps_3.80﹨Core﹨config﹨rules文件夾下，拷貝后便為掃描建立了默認(rèn)的規(guī)則庫(kù)。另外，你也可以自定義規(guī)則，fortify規(guī)則庫(kù)，這些內(nèi)容將會(huì)在以后逐一介紹。

建立和執(zhí)行掃描任務(wù)：

我們分別通過(guò)Java、.Net C#和C/C++三類不同編程語(yǔ)言項(xiàng)目來(lái)介紹如何快速建立和執(zhí)行掃描任務(wù)：

Java項(xiàng)目：

Fortify SCA對(duì)于Java項(xiàng)目的支持是做得蕞好的，建立掃描入口的路徑選擇非常多，常用的方法是直接執(zhí)行HP_Fortify﹨HP_Fortify_SCA_and_Apps_3.80﹨bin﹨d，啟動(dòng)審計(jì)工作臺(tái)就可以直接對(duì)Java項(xiàng)目進(jìn)行靜態(tài)掃描；另外也可以使用Fortify SCA插件，源代碼審計(jì)工具fortify規(guī)則庫(kù)，集成嵌入Eclipse來(lái)完成開(kāi)發(fā)過(guò)程中的實(shí)時(shí)掃描；當(dāng)然，你也可以使用原生的命令行工具完成全部工作，我們這里介紹一個(gè)通用的方法，即利用ScanWizard工具導(dǎo)入你的源碼項(xiàng)目，通過(guò)一系列設(shè)置后，會(huì)生成一個(gè)批處理腳本文件，通過(guò)批處理代替手工輸入執(zhí)行命令進(jìn)行測(cè)試。

使用HP_Fortify﹨HP_Fortify_SCA_and_Apps_3.80﹨bin﹨d啟動(dòng)ScanWizard工具：

fortify規(guī)則庫(kù)-蘇州華克斯公司由蘇州華克斯信息科技有限公司提供?！癓oadrunner,Fortify,源代碼審計(jì),源代碼掃描”選擇蘇州華克斯信息科技有限公司，公司位于：蘇州工業(yè)園區(qū)新平街388號(hào)，多年來(lái)，華克斯堅(jiān)持為客戶提供好的服務(wù)，聯(lián)系人：華克斯。歡迎廣大新老客戶來(lái)電，來(lái)函，親臨指導(dǎo)，洽談業(yè)務(wù)。華克斯期待成為您的長(zhǎng)期合作伙伴！