Fortify SAST 新增語(yǔ)言支持

提供27種以上的主要語(yǔ)言及其框架的準(zhǔn)確支持和敏捷更新。之后將添加更多新的語(yǔ)言版本，源代碼掃描工具fortify版本，從根本上改進(jìn)、簡(jiǎn)化工作方式。以下語(yǔ)言更新已添加到 Fortify Static 代碼分析器：

.NET

增加對(duì) .NET 5.0、C# 9、 Blazor 語(yǔ)言和框架的支持。

MSBuild Support Update

增加對(duì)16.8和16.9版本的支持。

Go

增加對(duì)1.15和1.16版本的支持；增加對(duì) GOPROXY 環(huán)境變量的支持。

Java

更新 JSP 翻譯以減少誤報(bào)；改進(jìn)字節(jié)碼分析。

JavaScript

增加對(duì) TypeScript 4.1及Angular 10、11語(yǔ)言和框架的支持。

Kotlin

增加對(duì) Kotlin 1.4.20版本的支持。

PHP

增加對(duì) PHP 7.2、7.3、7.4及8.0版本的支持。

Python

增加對(duì)Python 3.9、Django 3.1語(yǔ)言和框架的支持。

Swift/Obj-C

增加對(duì) Xcode 12.4版本的支持。

Operating Systems (Linux)

增加對(duì)以下 Linux 服務(wù)器的支持：1. SUSE Linux Enterprise Server 15

2. Red Hat Enterprise Linux 8.2

3. CentOS Linux 7.6-1810 and 8.2-2004

4. Ubuntu 20.04.1 LTS

Micro Focus Visual COBOL (Technology Preview)

增加對(duì) Micro Focus Visual COBOL 6.0.版本的支持。

C/C++ (Technology Preview)

使用新的基于 Clang 的翻譯改進(jìn)對(duì) C++11 結(jié)構(gòu)的支持。

Fortify system命令執(zhí)行檢測(cè)

除了使用 DataflowSourceRule 、DataflowSinkRule 等規(guī)則來(lái)定義污點(diǎn)跟蹤相關(guān)的屬性外，F(xiàn)ortify還支持使用 CharacterizationRule 來(lái)定義污點(diǎn)跟蹤相關(guān)的特性。

Fortify在編譯/分析代碼過(guò)程中會(huì)把代碼中的元素（代碼塊、類、表達(dá)式、語(yǔ)句等）通過(guò)樹(shù)狀結(jié)構(gòu)體組裝起來(lái)形成一顆 structural tree，然后掃描的時(shí)候使用 Structural Analyzer 來(lái)解析 StructuralRule ，蕞后輸出匹配的代碼。

下面以一個(gè)簡(jiǎn)單的示例看看 structural tree 的結(jié)構(gòu)，示例代碼如下

Fortify 靜態(tài)代碼分析器（SCA）利用多種算法和擴(kuò)展的安全編碼規(guī)則知識(shí)庫(kù)，分析應(yīng)用程序的源代碼，及時(shí)發(fā)現(xiàn)可修復(fù)的漏洞。

為更好處理代碼，F(xiàn)ortify SCA 的工作方式與編譯器存在相似性——讀取并將源代碼文件轉(zhuǎn)換為增強(qiáng)的中間結(jié)構(gòu)，以快速執(zhí)行安全分析。分析引擎由多個(gè)專門(mén)的分析程序組成，基于安全編碼規(guī)則分析代碼庫(kù)是否違反了安全編碼實(shí)踐。除此外，F(xiàn)ortify SCA 還提供規(guī)則構(gòu)建器以擴(kuò)展靜態(tài)分析，華東fortify版本，并包含自定義規(guī)則，用戶根據(jù)受眾和任務(wù)特性，靈活查看分析結(jié)果。