一、 Fortify SCA概述

1、Source Code Analysis 階段概述

Audit Workbench 會啟動 Fortify SCA“Scanning（掃描）”向導來掃描和分析源代碼。該向導整合了以下幾個分析階段：

轉換：使用源代碼創(chuàng)建中間文件，源代碼掃描工具fortify報告中文插件，源代碼與一個 Build ID相關聯(lián)，Build ID通常就是項目名稱。

掃描與分析：掃描中間文件，分析代碼，并將結果寫入一個Fortify Project Results(FPR)文件。

校驗：確保所有源文件均包含在掃描過程中，使用的是正確的規(guī)則包，且沒有報告重大錯誤。

2、安全編碼規(guī)則包概述

安全編碼規(guī)則包是 Fortify Software 安全研究小組多年軟件安全經(jīng)驗的體現(xiàn)，并且經(jīng)過其不斷努力改進而成。這些規(guī)則是通過對編碼理論和常用編碼實踐的研究，而取得的軟件安全知識的巨大積累，并且在 Fortify Software 安全研究小組的努力下不斷擴展和改進。每個安全編碼規(guī)則包均包含大量的規(guī)則，每個規(guī)則定義了一個被 source code analysis 檢測出的特定異常行為。

一旦檢測出安全問題，安全編碼規(guī)則包會提供有關問題的信息，源代碼檢測工具fortify報告中文插件，讓開發(fā)人員能夠計劃并實施修復工作，這樣比研究問題的安全細節(jié)更為有效。這些信息包括關于問題類別的具體信息、該問題會如何者利用，以及開發(fā)人員如何確保代碼不受此漏洞的威脅。

安全編碼規(guī)則包支持多種編程語言，也支持各種經(jīng)過擴展的第三方庫和配置文件。

有關當前安全編碼規(guī)則包的信息，請參見《安全編碼規(guī)則包參考》。

使用Fortify SCA

1、掃描 Java 項目

“Scan Java Project（掃描 Java 項目）”向導將轉換階段和分析階段合并為一個簡單的步驟。使用此功能可以掃描源那些代碼位于單個目錄中的小型 Java 項目。

2、掃描其他項目

您可以使用“Advanced Scan（掃描）”向導轉換和分析 Java、JavaScript、PHP、ASP、.NET 和 SQL 項目。對于源代碼位于多個目錄中、具有特殊轉換或構建條件，或包含需要從項目中排除的文件的 Java 項目，應使用“Advanced Scan（掃描）”向導。

Fortify 審計

Fortify掃描后生成的fpr文件，就是我們審計的目標。Fortify會將源碼信息和識別到的風險記錄下來。

使用Fortify Audit Workbench打開文件后；左上角的小窗口會列出所有識別出來的潛在風險，雙擊即可查看對應位置代碼。這里是一個在日志中打印IMEI的風險項，左下角可以看到整個數(shù)據(jù)鏈路，源代碼審計工具fortify報告中文插件，了解數(shù)據(jù)的傳遞路徑。視圖中上位置是代碼窗口，可以看到已經(jīng)將危險代碼標識出來。如果代碼窗口中的中文顯示亂碼，往往是因為Fortify默認的解析字節(jié)碼是GBK，可以在選中代碼文件后，點擊Edit->Set Encoding...選項，設置正確的編碼方式即可。中下位置則是對于規(guī)則的介紹，協(xié)助安全工程師確定問題，識別風險。右側的則是所有依賴的代碼的路徑。

在我們審計過程中，如果發(fā)現(xiàn)問題是誤報，可以右鍵風險項，選擇Hide in AWB，西南fortify報告中文插件，即可隱藏誤報問題。

然后是生成報告，我們可以選擇生成兩種報告：

BIRT是統(tǒng)計報告，可以按照不同標準顯示各種類型風險的統(tǒng)計信息。也可以選擇一些我們認定是誤報的項，是否顯示。

Legacy表示信息的留存，該報告會將各風險項的信息依次打印出來，可以提供給業(yè)務確認風險。