强化SCA与强化SSC之间的差异
WebInspect是与SSC完美匹配的动态代码分析工具。不幸的是，他们没有任何良好的CI集成插件来自动化这个每个构建。到目前为止，我看到的大多数共同体解决方案都是在内部开发的。
实际上WebInspect（使用WebInspect Enterprise集成到SSC中，这个控制台连接到SSC，有效地创建了一个新版本的AMP）和运行在
源代码审计工具fortify sca
强化SCA与强化SSC之间的差异
WebInspect是与SSC完美匹配的动态代码分析工具。不幸的是，他们没有任何良好的CI集成插件来自动化这个每个构建。到目前为止，我看到的大多数共同体解决方案都是在内部开发的。
实际上WebInspect（使用WebInspect Enterprise集成到SSC中，这个控制台连接到SSC，有效地创建了一个新版本的AMP）和运行在Java或.NET应用程序上的Runtime产品（以前称为RTA），并且可以在运行时执行各种各样的事情（记录/停止攻击等） -
1
@Keshi现在他们为Jenkins提供插件，并且可以与JIRA集成。 - 克里希纳·潘迪2月23日16时5分13分
请说明，同样的analyzser.exe（也称为SCA）由Audit Workbench和各种SCA插件（maven，Jenkins，eclipse，Visual Studio，IntelliJ，XCode等）调用。 SSC不运行SCA。 SSC管理从SCA输出的FPR文件。这次旅程是与安全合作关系的巨大团队胜利，文化转变为灵活的思维方式，为未来创造更好，可持续的过程。 - WaltHouser Apr 14 '16 at 21:07
Fortify软件
强化静态代码分析器
使软件更快地生产
“将FINDBUGS XML转换为HP FORTIFY SCA FPR | MAIN | CA特权身份管理员安全研究白皮书
强化针对JSSE API的SCA自定义规则滥用
我们的贡献：强制性的SCA规则
为了检测上述不安全的用法，我们在HP Fortify SCA的12个自定义规则中对以下检查进行了编码。这些规则确定了依赖于JSSE和Apache HTTPClient的代码中的问题，因为它们是厚客户端和Android应用程序的广泛使用的库。
超许可主机名验证器：当代码声明一个HostnameVerifier时，该规则被触发，并且它总是返回'true'。
<谓词>
<！[CDATA [
函数f：f.name是“verify”和f.enclosingClass.supers
包含[Class：name ==“javax.net.ssl.HostnameVerifier”]和
f.parameters [0] .type.name是“java.lang.String”和
f.parameters [1] .type.name是“javax.net.ssl.SSLSession”和
f.returnType.name是“boolean”，f包含
[ReturnStatement r：r.expression.constantValue matches“true”]
]]>
过度允许的信任管理器：当代码声明一个TrustManager并且它不会抛出一个CertificateException时触发该规则。抛出异常是API管理意外状况的方式。
函数f：f.name是“checkServerTrusted”和
f.parameters [0] .type.name是“java.security.cert.X509Certificate”
和f.parameters [1] .type.name是“java.lang.String”和
f.returnType.name是“void”而不是f包含[ThrowStatement t：
t.expression.type.definition.supers包含[Class：name ==
“（javax.security.cert.CertificateException | java.security.cert.CertificateException）”]
缺少主机名验证：当代码使用低级SSLSocket API并且未设置HostnameVerifier时，将触发该规则。
经常被误用：自定义HostnameVerifier：当代码使用HttpsURLConnection API并且它设置自定义主机名验证器时，该规则被触发。
经常被误用：自定义SSLSocketFactory：当代码使用HttpsURLConnection API并且它设置自定义SSLSocketFactory时，该规则被触发。
我们决定启动“经常被滥用”的规则，因为应用程序正在使用API，并且应该手动审查这些方法的重写。
规则包可在Github上获得。这些检查应始终在源代码分析期间执行，以确保代码不会引入不安全的SSL / TLS使用。
http://github.com/GDSSecurity/JSSE_Fortify_SCA_Rules
AuthorAndrea Scaduto |评论关闭|分享文章分享文章
标签TagCustom规则，CategoryApplication安全性中的TagSDL，CategoryCustom规则
HP Fortify静态代码分析器
Fortify SCA 5.0设置了一个全mian的新酒吧
Fortify SCA 5.0通过分析360技术增强了行业领xian的分析仪功能，可以处理安全开发面临的da问题，以及新的不断发展的攻击。通过分析360，Fortify SCA减少了错误的否定，以确保没有错过，同时da限度地减少误报，所以开发侧重于关键的代码问题。z配置引擎：分析项目配置文件中的敏感信息和配置缺失的安全问题。使用Fortify SCA 5.0，已经添加或增强了分析功能，以提，包括：
- 无限多维色彩传播 - 此功能有助于
找到远程可利用的错误，这对于查找特别有用
隐私管理故障和其他与PCI有关的错误。
- 基于约束的漏洞排名 - 提取一组布尔值
来自代码的约束方程，并使用约束求解器进行排序
错误的编码实践可能被利用的可能性的。
- 过程间数据流分析 - 使用有限状态自动机
通过代码模拟可能的执行路径。
- 关联故障诊断 - 允许用户消除整个
通过将跟随相同的结果相关联的假阳性类
代码模式。
Fortify SCA 5.0增加了对四种新编程语言的支持
- 经典ASP - 今天，成千上万的遗留应用程序写入
经典的ASP需要针对普通的，的
漏洞，如SQL注入和跨站点脚本。
- COBOL - 几十年前发明 - 在应用程序安全性之前很久
COBOL的重要性随着企业曝光而重新浮出水面
系统通过面向服务架构（SOA）的举措。
- Java - 今天，Java可能是增长快的编程
语言 - 其安全问题已经有很好的记录 - 包括
Fortify发现Java劫持。
