源码安全监测工具fortify sca

fortify是一款非常好用的源码安全监测工具，支持对代码进行测试和安全检测，轻松找出程序漏洞，这次会语言广泛，分析速度快，数据全面，欢迎有需要的朋友到绿色资源网下载使用！

官方介绍

Fortify SCA是目前业界最为全面的源代码白盒安全测试工具，它能精确定位到代码级的安全问题，完全自动化的完成测试，最广泛的安全漏洞规则，多维度的分析源代码的安全问题。

fortify sca 6.0主要功能

审计功能：

1.安全问题审计结果、审计类别划分和问题旁注功能。

2.安全审计自动导航功能

3.安全漏洞扫描结果的汇总和问题优先级别划分功能。

4.安全问题定位和问题传递过程跟踪功能。

5.安全问题查询和过滤功能。

6.安全问题描述和推荐修复建议。

扫描分析功能：

1.独特的控制流分析技术精确地跟踪业务操作的先后顺序，发现因代码构造不合理而带来的软件安全隐患。

2.独特的配置流分析技术分析软件的配置和代码的关系，发现在软件配置和代码之间，配置丢失或者不一致而带来的安全隐患

3.独特的数据流分析技术，跟踪被感染的、可疑的输入数据，直到该数据被不安全使用的全过程，并跨越整个软件的各个层次和编程语言的边界。

4.独特的语义分析技术发现易于遭受攻击的语言函数或者过程，并理解它们使用的上下文环境，并标识出使用特定函数或者过程带来的软件安全的隐患

5.独特的代码结构分析技术从代码的结构方面分析代码，识别代码结构不合理而带来的安全弱点和问题。

6.自定义安全代码规则功能。

fortify sca特色

1．从多方面分析软件源代码，查找软件安全漏洞，是目前采用分析技术最多的，最能全面检查代码安全问题，其检查方式分别为：数据流、控制流、语义、配置流和代码结构

2.安全代码规则最全面，安全漏洞检查最彻底。目前包括150多种类别的安全漏洞，其安全代码规则多达50000多条。规则内容涉及ASP.NET, C/C++, C#, ColdFusion,Java, JSP, PL/SQL, T-SQL, XML,VB.NET and other .NET等多种语言

3.支持混合语言的分析，包括 ASP.NET, C/C++, C#, Java?, JSP, PL/SQL,T-SQL, VB.NET, XML and other .NET languages. Fortify SCA 支持 Windows?, Solaris?, Linux?, AIX? and Mac OS? X….等多种操作系统

4.是目前唯一的能跨越软件不同层次和不同语言边界的静态分析技术，能跟踪软件安全漏洞引入的过程。

5.支持多种国际软件安全的标准：OWASP、Payment Card Industry (PCI) Compliance、Federal Information Security Management Act（FISMA）Common Weakness Enumeration（CWE）….。

6.支持自定义软件安全代码规则。

7.集成软件开发环境（Microsoft visual studio, IBM RAD, and eclipse.）和自动产品构建过程。

8.基于Web接口，能对企业多个项目进行集中的安全统计、分析和管理

fortify sca安装教程

在绿色资源网下载并解压

1.Fortify SCA的安装文件

2.Fortify license(即安装授权文件)

3.Fortify的规则库文件(可在线下载最新的规则库)

4.要安装插件的IDE (例如eclispe3.2,3.3;VS2003，2005;RAD7;RSD7)

在windows上安装

1.双击安装包中的Fortify-360-2[1].0-Analyzers_and_Apps-Windows-x86.exe即可安装

2.选择Fortify提供的授权文件所在路径(即安装包下的fotify_rule文件夹，该文件夹下有fortify.license)，点击‘NEXT’按钮

3.选择相应的安装路径，点击‘NEXT’按钮

4.选择相应的组件进行安装,在此处请注意，fortify默认不安装IDE插件，如果需要安装相应的IDE插件，如图所示：在此处我选择了基于eclipse3.x，VS2005的插件(选择安装VS的插件之前，得首先安装VS的IDE),然后点击‘NEXT’按钮

5.再点击‘NEXT’按钮即可完成安装

6.添加相应的规则库，可直接联网下载最新的规则库，或是将安装包下的fotify_rule

7.文件夹下rules_ZH.rar解压缩到fortify安装目录下的Coreconfig ules位置

8.安装完成后把系统时间改成2008年,方可正常使用