Fortify软件
强化静态代码分析器
使软件更快地生产
强化SCA Visual Studio插件
注意：此插件随SCA_and_Tools安装程序一起提供。
用于Visual Studio的HPE Security Fortify软件包（完整软件包）。完整软件包使用HPE Security Fortify静态代码分析器（SCA）和HPE Security Fortify安全编码规则包来定位解决方案和项目中的安全漏洞（包括对以下语言的支持：C / C ++，C＃，Visual Basic .NET和ASP 。净）。扫描结果显示在Visual Studio中，并包括未被覆盖的问题列表，每个问题所代表的漏洞类型的说明以及有关如何解决这些问题的建议。您可以扫描您的代码，审核分析结果，并修复此完整包的问题。
用于Visual Studio的HPE Security Fortify修复包（修复包）。修复软件包与HPE Security Fortify软件安全中心（SSC）协同工作，为您的软件安全分析添加补救功能。安装修复软件包后，您可以连接到软件安全中心，并从Visual Studio解决代码中的安全相关问题。您的组织可以使用软件安全中心的修复软件包来管理应用程序，并将具体问题分配给正确的开发人员。修复包专注于修复阶段，使开发人员能够查看报告的漏洞并实施适当的解决方案。
用于Visual Studio的HPE安全扫描包（扫描包）。扫描包使您能够通过Visual Studio在项目和解决方案上使用MSBuild运行SCA扫描。它是一个“轻量级”软件包，它在Visual Studio IDE中占用的空间非常小，仅用于在源代码上配置和运行扫描。扫描包可以解决您的解决方案和项目中的安全漏洞。您可以将扫描结果（FPR文件）上传到软件安全中心，或者在HPE Security Fortify AuditWorkbench中打开它们进行审核。
Fortify软件
强化静态代码分析器
使软件更快地生产
强化SCA Eclipse修复插件
惠普企业HPE社区
下载
描述
发布
相似的项目
评测
联系我们
描述
用于Eclipse的HPE Security Fortify修补插件（Eclipse Remediation Plugin）与HPE Security Fortify软件安全中心配合使用，可以从Eclipse IDE向软件安全分析添加补救功能。 Eclipse Remediation Plugin是一个轻量级的插件选项，用于不需要Audit Workbench和Eclipse Complete Plugin的扫描和审核功能的开发人员.Eclipse Remediation Plugin可以帮助开发人员快速轻松地了解所报告的漏洞并实施适当的解决方案。开发人员可以在Eclipse中编写代码时解决安全问题。您的组织可以使用软件安全中心的Eclipse修复插件来管理项目，并向相关开发人员分配具体问题。
Fortify软件
强化静态代码分析器
使软件更快地生产
“将FINDBUGS XML转换为HP FORTIFY SCA FPR | MAIN | CA特权身份管理员安全研究白皮书»
强化针对JSSE API的SCA自定义规则滥用
允许所有的行动
应用程序不检查服务器发送的数字证书是否发送到客户端正在连接的URL。
Java安全套接字扩展（JSSE）提供两组API来建立安全通信，一个HttpsURLConnection API和一个低级SSLSocket API。
HttpsURLConnection API默认执行主机名验证，再次可以通过覆盖相应的HostnameVerifier类中的verify（）方法来禁用（在GitHub上搜索以下代码时，大约有12,800个结果）。
HostnameVerifier allHostsValid = new HostnameVerifier（）{
public boolean verify（String hostname，SSLSession session）{
返回真
}
};
SSLSocket API不开箱即可执行主机名验证。以下代码是Java 8片段，仅当端点标识算法与空字符串或NULL值不同时才执行主机名验证。
private void checkTrusted（X509Certificate [] chain，String authType，SSLEngine engine，boolean isClient）
throws CertificateException {
...
String identityAlg = engine.getSSLParameters（）。
getEndpointIdentificationAlgorithm（）;
if（identityAlg！= null && identityAlg.length（）！= 0）{
checkIdentity（session，chain [0]，identityAlg，isClient，
getRequestedServerNames（发动机））;
}
...
}
当SSL / TLS客户端使用原始的SSLSocketFactory而不是HttpsURLConnection包装器时，识别算法设置为NULL，因此主机名验证被默认跳过。因此，如果攻击者在客户端连接到“”时在网络上具有MITM位置，则应用程序还将接受为“some-evil-”颁发的有效的服务器证书。
这种记录的行为被掩埋在JSSE参考指南中：
“当使用原始SSLSocket和SSLEngine类时，您应该始终在发送任何数据之前检查对等体的凭据。 SSLSocket和SSLEngine类不会自动验证URL中的主机名与对等体凭
Fortify软件
强化静态代码分析器
使软件更快地生产
HP Fortify静态代码分析器
Fortify SCA 5.0提供定制
为了帮助企业客户定制其应用程序安全规则和部署，Fortify已将规则开发和管理集成到Fortify SCA 5.0的审核工作台中，为开发人员通过管理安全开发的安全规则生成，编辑和排序提供了前所未有的灵活性。其中一些功能包括：
- 新的规则写入向导 - 用户可以快速创建自定义规则
回答一系列旨在确定代码中的问题的问题
这取决于唯yi的编码标准或专有库。
- API ScanView - Fortify SCA 5.0提供了一个用于呈现的界面
项目中使用的各种API，并突出显示未涵盖的API
通过Fortify安全编码规则包。从这个界面，用户可以
轻松创建相关API的新的自定义规则。
- Rulepack Manager - Fortify用于管理Rulepacks的界面
用户可以快速确定Rulepack的内容并允许它们
轻松过滤，排序和编辑规则。
- 规则编辑器 - 对于用户，Fortify的XML编辑器提供语法
突出显示，代码完成，验证和内联错误报告
适用于自定义规则。
Fortify SCA 5.0启用协作
全球企业需要跨开发团队的连接，能够在全球和全天候进行协作。 Fortify SCA 5.0为安全人员和应用程序开发人员提供了在不同视图中处理他们的项目的方法，允许两个组在不相互影响的情况下执行其功能。此外，此版本是第yi个应用程序安全解决方案，包括一系列跟踪和审核工具，可帮助开发人员在同一个项目上工作，而不管位置如何。后，Fortify SCA 5.0集成了强大的报告功能，团队领导可以用来展示整个企业的其他利益相关者的进步。具体协作功能包括：
- 协作审核 - 团队成员现在可以发布一个
源代码扫描到基于Web的应用程序进行审查，评论
开启和分类问题。
- 开发者模式 - 以开发人员为中心的模式着重于众所周知
质量问题，如空指针解引用，内存泄漏和
更多 - 以非常低的假阳性率，精简安全
编码过程。开发人员可以专注于重要的项目
他们，而安全人士可以看到所有潜在的问题
根据需要将他们带到开发商。
- 审计历史 - 在一个问题上执行的每个评论和行动
记录在时间轴上，以及时间戳和用户名
执行行动的人
- 手动审核整合 - 手动代码审查期间发现的问题
或其他形式的安全测试可以集成到审计
工作台。现在所有的代码级安全问题都可以合并在一个
强化SCA分析。
- 优先级排序 - 用户可以根据自己的需求分类问题
组织的命名，创建自定义问题文件夹和创建
过滤器自动填充文件夹中的特定类型的问题，
或者完全隐藏某些问题。
- 新的IDE支持 - Fortify SCA现在支持RSA 7，RAD 7和RAD 6。
以上信息由专业从事源代码检测工具fortify代理商的华克斯于2024/5/19 11:33:59发布
转载请注明来源：http://m.herostart.com/qynews/hksxxkj-2755378341.html
