苏州华克斯公司-sonarqube开源代码管理软件

设置

这组说明介绍如何配置插件以运行本地 fortify 静态代码分析器扫描，将分析结果上传到软件安全中心，华北sonarqube开源代码管理软件，然后在 jenkins 中查看分析结果。您还可以使用 scancentral sast 运行分析。有关说明，请参阅完整文档。

创建 citoken 类型的身份验证令牌。登录 fortify 软件安全中心，单击“管理”选项卡，然后在左侧窗格中选择“令牌管理>;用户”。单击“新建”创建 citoken 类型的身份验证令牌，sonarqube开源代码管理软件，然后单击“保存”。对话框底部的令牌。

在 jenkins 中，安装 fortify 插件。

从“jenkins”菜单中，选择“jenkins”>;“管理 jenkins”>;“配置系统”。要根据结果触发不稳定构建并在 jenkins 中查看分析结果，您需要将本地运行的分析结果上传到 fortify 软件安全中心。向下滚动到强化评估部分，然后执行以下操作：

在“ssc url”框中，键入“强化软件安全中心服务器 url”。

在“身份验证令牌”框下方，单击“添加>; jenkins”以打开“jenkins 凭据提供程序”对话框，并添加类型为“强化连接令牌”的凭据。添加凭据的说明，sonarqube开源代码管理软件，并将在步骤 1 中创建的令牌值粘贴到“令牌”框中。

要使用 jenkins 中配置的代理设置连接到 fortify 软件安全中心，请选择“使用 jenkins 代理”。

单击测试 ssc 连接。

嵌入式系统扫描策略

基于嵌入式软件的扫描，可以在不执行程序代码的情况下，通过静态分析程序特征以发现漏洞。

由于固件程序涉及---，很少公开源代码，在这种情况下需要通过对固件进行逆向工程，再通过程序静态分析技术进行分析。

基于嵌入式软件的漏洞检测，除了应用程序外，还应包含引导加载程序、系统内核、文件系统等环境。

嵌入式系统扫描

嵌入式系统扫描基于嵌入式系统的扫描，应使用相应的工具对嵌入式软件压缩包进行扫描分析，整个分析流程主要分为四个阶段：

di一阶段：识别固件结构体系，sonarqube开源代码管理软件，提取出待分析的目标程序；

第二阶段：识别固件中存在的软件成分，如操作系统、中间件、应用程序等；

第三阶段：查找整个固件里如第三方库、公私钥的---息；

第四阶段：通过静态分析技术对程序的汇编码进行分析，并与分析工具中内置的漏洞库、---代码库等数据库进行匹配，找出待测件中存在的漏洞及风险。