华克斯-北京fortify sca

fortifysca系统集成和可扩展性

·        

可以支持和qc、bugzilla等主流的管理系统集成。使安全测试、功能测试和性能测试发现的问题统一管理，源代码扫描工具fortify sca，与开发团队现有的流程相融合。  

·        

漏洞管理平台可以支持和企业ldap域用户服务器和email服务器的集成。 提高工作效率，源代码审计工具fortify sca，实现集中管理。

·        

可以支持和主流持续集成平台的整合如hudson/jenkins，实现从获取xin代码、构建编译、安全测试、结果发布的全自动化，提高工作效率，节省人力成本。

·        

可以支持和主流的黑盒web应用安全测试产品进行黑白盒关联分析，具有---的可扩展性，提高应用安全测试结果的准确性，并且得到的定位和修复。

fortify sca产品组件及功能

source

code

---ysis

engine（源代码分析引擎）

 数据流分析引擎--------，记录并分析程序中的数据传递过程的安全问题

 语义分析引擎-----分析程序中不安全的函数，方法的使用的安全问题

 结构分析引擎-----分析程序上下文环境，结构中的安全问题

 控制流分析引擎-----分析程序特定时间，状态下执行操作指令的安全问题

 配置分析引擎

-----分析项目配置文件中的---息和配置缺失的安全问题

 特有的x-tier?---qi-----跨跃项目的上下层次，贯穿程序来综合分析问题

secure

coding

rulepacks

?（安全编码规则包）

audit

workbench（---工作台）

custom

rule

editor

&

custom

rulewizard(规则自定义编辑器和向导)

developerdesktop

(ide

插件）

fortify sca 分析安全漏洞的标准

owasp top 2004/2007/2010/2013/2014(开放式web应用程序安全项目)

2. pci1.1/1.2/2.0/3.0(国际---ka资料安全

技术pci标准)

3. wasc24+2(web应用安全联合威胁分类)

4. nist sp800-53rev.4(美国与技术研究院)

5. fisma(联邦信息安全管理法案)

6. sans top25 2009/2010/2011(it安全与研究组织)

7. cwe(mitre公司安全漏洞词典)