【源代码扫描工具】 -fortify SCA原理简介_fortify sca工作原理_una2017的博客-程序员宝宝

1-Fortify SCA（Fortify Source Code Analysis）是一个静态的、白盒的软件源代码安全测试工具。

它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，分析的过程中与它特有的软件安全漏洞规则集进行全面地匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并给予整理报告。扫描的结果中不但包括详细的安全漏洞的信息，还会有相关的安全知识的说明，以及修复意见的提供。

Foritfy SCA主要包含的五大分析引擎：
数据流引擎：跟踪,记录并分析程序中的数据传递过程所产生的安全问题。
语义引擎：分析程序中不安全的函数,方法的使用的安全问题。
结构引擎：分析程序上下文环境,结构中的安全问题。
控制流引擎：分析程序特定时间,状态下执行操作指令的安全问题。
配置引擎：分析项目配置文件中的敏感信息和配置缺失的安全问题。

说明：特有的X-Tier跟踪器：跨跃项目的上下层次,贯穿程序来综合分析问题

2-Fortify SCA是一个产品的套件，它是由内置的分析引擎、安全编码规则包、审查工作台、规则自定义编辑器和向导、IDE 插件五部分组件，五个组件配合工作完成对源代码安全漏洞的扫描，分析，查看，审计等工作。

1）分析引擎：内置五大分析引擎与规则包配合工作，从五个侧面全面地分析程序源代码中的安全漏洞。

2）安全编码规则包：由多位顶级的软件安全专家，多年研究出来的数十万条软件安全漏洞特征的集合。目前能查找出来约350多种安全漏洞，内置在SCA中与分析引擎配合工作。

3）审计工作台：一个用来查看，审计SCA分析出来的漏洞结果的综合的平台，它包含大量的丰富的软件漏洞的信息，如下图2 所示，它包括了漏洞的分级，漏洞产生的全过程，漏洞所在的源代码行数定位，以及漏洞的解释说明和推荐的修复建议等内容，极大地方便地用户对SCA的查看，审计等工作。

4）规则自定义向导/编辑器：Fortify SCA的规则支持自定义功能，方便用户来扩展SCA对漏洞的分析能力，所以SCA提供了一个用户自定义的向导和编辑器。

5）IDE插件：为了方便用户使用SCA对程序源代码进行安全扫描，它提供了多种IDE工具的插件，如Eclipse, Visual Studio,RAD, WSAD等。

3-其他方面

1）Fortify SCA支持的平台:
Windows, Solaris, Red Hat Linux,Mac OS X, HP-UX, IBM AIX
2）Fortify SCA支持的编程语言：
C, C++,.Net, Java, JSP,PL/SQL, T-SQL, XML, CFMLJavaScript, PHP, ASP, VB, VBScript
3）Fortify SCA plug-In 支持的有:
Visual Studio, Eclipse, RAD, WSAD
4）Fortify SCA目前能够扫描的安全漏洞种类有：
目前Fortify SCA可以扫描出约350种漏洞，Fortify将所有安全漏洞整理分类，根据开发语言分项目，再细分为8个大类，约350个子类

本文链接：https://blog.csdn.net/zhailihua/article/details/73912069

原作者删帖不实内容删帖广告或垃圾文章投诉

智能推荐

在Docker 中搭建 jenkins_假假贾先生的博客-程序员宝宝

首先需要准备好环境，一个Linux系统我用的Centos7，然后安装好Docker，准备一个Maven一、拉取jenkins镜像 docker pull jenkinsci/blueocean拉取时长视网速而定，下图为拉取成功效果拉取完成后可以通过 images 命令查看镜像列表 docker images二、启动jenkins镜像-p 参数为端口映射，我这里用的是9090，可以根据自己需要修改-v /opt/software/jenkins_home

在浏览器地址栏输入一个URL后回车，执行的全部过程_我真的不会Coding的博客-程序员宝宝

https://www.zhihu.com/question/34873227在浏览器中输入www.baidu.com后执行的全部过程从一道百度面试题到分析输入url到页面返回的过程（或者查询返回过程）在浏览器中输入www.baidu.com后执行的全部过程作为一个软件开发者，你一定会对网络应用如何工作有一个完整的层次化的认知，同样这里也包括这些应用所用到的技术：像浏览器，H...

node 的使用和管理_node管理_yuange11111的博客-程序员宝宝

1 使用 node 管理工具 n2 npm 下载地址的切换和管理使用nrm npm 源管理工具

maven中的GroupID和ArtifactID_idea查看自己项目的组id_振哥在，世界充满爱！的博客-程序员宝宝

groupId ：the unique identifier of the organization or group that created the project artifactId ：unique base name of the primary artifact being generated by this project GroupID 是项目组织中唯一的标识符，对应Java包结...

杰理之蓝牙OTA蓝牙升级【篇】_Rambo-Lamborghini的博客-程序员宝宝

命令AT+OTA\r响应成功:\r\nOK\r\n失败:\r\nERR:[data]\r\n

Android 整合okhttp3、listview解析json数据_okhttp listview_你看我还在呢的博客-程序员宝宝

上上篇文章写了个Android的模拟接口，终于派上用场了现在我们将接口里面的json数据通过ListView显示出来，效果如下：先讲一下ListView吧，讲ListView之前，肯定要讲Adapter，在Android应用程序中，采用数据和显示分开实现的数据处理方式，由于数据源形式多样，例如ListView所展示的数据格式是有一定要求的，为匹配这个变换，，中间加了适配器。数据适配器...