源代码审计工具fortify工具-fortify-华克斯

micro focus fortify 系列解决方案

1、用于静态应用安全测试（sast）的 fortify sca：在开发过程中识别漏洞，并在蕞容易修复且成本蕞低的时候优先处理那些关键问题。扫描结果存储在 fortify ssc 中。

2、用于动态应用安全测试（dast）的 fortify webinspect：识别运行中的网络应用程序和网络服务的安全漏洞，fortify，并对其进行优先级排序；集成交互式应用程序安全测试（iast），扩大攻击面的覆盖范围以识别更多的漏洞。扫描结果可存储在 fortify ssc 中。

3、fortify 软件安全中心（ssc）：作为 appsec 平台帮助企业实现应用安全程序自动化。它为管理、开发和安全团队提供了一种共同工作的方式，以分类、---、验证和管理软件安全活动。

4、“应用安全即服务” fortify on demand：通过简单而灵活的方法，快速、准确地测试软件的安全性，无需额外资源，也无需安装和管理任何软件。

fortify sca使用

2.1安装完成后桌面没有快捷方式的话，---左下角windows图片输入 au，---运行即可。

注意事项

2.2如果打开后出现弹窗---按钮后出现错误提示的话

2.3 替换安装目录的---文件后重新打开软件即可

需要注意的是目录为安装目录，不是压缩包解压目录

2.4 选择java项目或者自动识别项目类型，这里以自动识别项目类型举例，源代码审计工具fortify工具，---后选中代码目录。

2.5 选择完目录后运行可能会提示是否更新规则包，---是。

2.6 规则更新完成后会弹出配置本次扫描的弹窗

无特殊配置的话一路next蕞后---扫描，等待扫描完成。

2.7 导出扫描报告

扫描完成后即可查看扫描出的问题，---tools ->;reports ->; 即可生成pdf报告