源代碼審計(jì)工具fortify 價(jià)格-華克斯

Fortify相比codeql的優(yōu)勢(shì)在于：

商用工具，擁有許多預(yù)設(shè)規(guī)則，比較成熟。規(guī)則開(kāi)發(fā)模式比較局限，但是對(duì)于某些特定場(chǎng)景的規(guī)則開(kāi)發(fā)相對(duì)簡(jiǎn)單。適合大規(guī)模規(guī)則的掃描。

Fortify是一款商業(yè)級(jí)的源碼掃描工具，其工作原理和codeql類似，甚至一些規(guī)則編寫的語(yǔ)法都很相似。

HP Fortify SCA采用的X-Tier數(shù)據(jù)流程分析技術(shù)，完整分析各種程序語(yǔ)言之執(zhí)行流程、數(shù)據(jù)輸入/輸出及程序語(yǔ)法，即使同一個(gè)應(yīng)用系統(tǒng)中包含了不同語(yǔ)言的源代碼，也可以完整分析及串接。透過(guò)HP Fortify SCA持續(xù)更新的檢查規(guī)則（Rulepack），讓蕞新的弱點(diǎn)可以被發(fā)現(xiàn)并修補(bǔ)，使用者也可以自行定義審計(jì)規(guī)則，針對(duì)特殊程序編寫規(guī)則或要求進(jìn)行檢查。

Fortify 審計(jì)

Fortify掃描后生成的fpr文件，源代碼審計(jì)工具fortify 價(jià)格，就是我們審計(jì)的目標(biāo)。Fortify會(huì)將源碼信息和識(shí)別到的風(fēng)險(xiǎn)記錄下來(lái)。

使用Fortify Audit Workbench打開(kāi)文件后；左上角的小窗口會(huì)列出所有識(shí)別出來(lái)的潛在風(fēng)險(xiǎn)，雙擊即可查看對(duì)應(yīng)位置代碼。這里是一個(gè)在日志中打印IMEI的風(fēng)險(xiǎn)項(xiàng)，左下角可以看到整個(gè)數(shù)據(jù)鏈路，了解數(shù)據(jù)的傳遞路徑。視圖中上位置是代碼窗口，可以看到已經(jīng)將危險(xiǎn)代碼標(biāo)識(shí)出來(lái)。如果代碼窗口中的中文顯示亂碼，往往是因?yàn)镕ortify默認(rèn)的解析字節(jié)碼是GBK，可以在選中代碼文件后，點(diǎn)擊Edit->Set Encoding...選項(xiàng)，設(shè)置正確的編碼方式即可。中下位置則是對(duì)于規(guī)則的介紹，協(xié)助安全工程師確定問(wèn)題，識(shí)別風(fēng)險(xiǎn)。右側(cè)的則是所有依賴的代碼的路徑。

在我們審計(jì)過(guò)程中，如果發(fā)現(xiàn)問(wèn)題是誤報(bào)，可以右鍵風(fēng)險(xiǎn)項(xiàng)，選擇Hide in AWB，即可隱藏誤報(bào)問(wèn)題。

然后是生成報(bào)告，我們可以選擇生成兩種報(bào)告：

BIRT是統(tǒng)計(jì)報(bào)告，可以按照不同標(biāo)準(zhǔn)顯示各種類型風(fēng)險(xiǎn)的統(tǒng)計(jì)信息。也可以選擇一些我們認(rèn)定是誤報(bào)的項(xiàng)，源代碼審計(jì)工具fortify 價(jià)格，是否顯示。

Legacy表示信息的留存，該報(bào)告會(huì)將各風(fēng)險(xiǎn)項(xiàng)的信息依次打印出來(lái)，fortify 價(jià)格，可以提供給業(yè)務(wù)確認(rèn)風(fēng)險(xiǎn)。

Fortify SCA 卸載（一）

About Uninstalling Fortify Static Code Analyzer and Applicati0ns

本節(jié)描述如何卸載增強(qiáng)的靜態(tài)代碼分析器和應(yīng)用程序?？梢允褂脴?biāo)準(zhǔn)安裝向?qū)?，也可以靜默執(zhí)行卸載。還可以在非windows系統(tǒng)上執(zhí)行基于文本的卸載。

本節(jié)包含以下主題:

Uninstalling Fortify Static Code Analyzer and Applicati0ns

Start >Control Panel >Add or Remove Programs.

Fortify SCA and Applicati0ns ， and then click Remove.

系統(tǒng)會(huì)提示您是否刪除所有應(yīng)用程序設(shè)置。做以下任何一件事:

單擊Yes刪除與要卸載的Fortify Static Code Analyzer版本相關(guān)的工具的應(yīng)用程序設(shè)置文件夾。未刪除Fortify靜態(tài)代碼分析器(sca)文件夾。

單擊No保留系統(tǒng)上的應(yīng)用程序設(shè)置。

Uninstalling on Other Platforms

位于中的卸載命令:

Unix or Linux Uninstall_FortifySCAandApps.exe

macOS Uninstall_FortifySCAandApps_.app

單擊Yes刪除與要卸載的Fortify Static Code Analyzer版本相關(guān)的工具的應(yīng)用程序設(shè)置文件夾。未刪除Fortify靜態(tài)代碼分析器(sca)文件夾。

單擊No保留系統(tǒng)上的應(yīng)用程序設(shè)置。

Uninstalling Fortify Static Code Analyzer and Applicati0ns Silently

導(dǎo)航到安裝目錄。