Fortify掃描Android項(xiàng)目

使用插件掃描是一個(gè)比較推薦的方式，華南fortify版本，因?yàn)椴僮骱?jiǎn)單，且環(huán)境可靠不需要重新配置。

首先肯定是獲取插件，我們需要從安裝Fortify開始。如果已經(jīng)安裝了也不要緊，源代碼掃描工具fortify版本，直接點(diǎn)擊安裝到原有目錄即可，F(xiàn)ortify會(huì)自動(dòng)適配的。安裝步驟基本都使用默認(rèn)選項(xiàng)，但是在選擇組件的環(huán)節(jié)，源代碼審計(jì)工具fortify版本，我們要記得勾選上我們需要的插件。

上圖中紅框是給Android Studio使用的插件，是本小節(jié)需要使用到的。第二個(gè)紅框則是一個(gè)Visual Studio的插件，后面會(huì)用到，這里可以先勾選一下(但要記得Visual Studio的插件只能在Visual Studio已存在時(shí)安裝，版本也不要選錯(cuò))。安裝后，可以在Fortify安裝目錄下的plugins﹨IntelliJAnalysis目錄中找到我們需要的插件。

然后是第二步，將插件安裝到Android Studio上。在Android Studio中打開插件的界面，選擇設(shè)置的圖標(biāo)，然后選擇Install Plugin from Disk...選項(xiàng)，選中前面說到的插件文件。然后重啟Android Studio即可生效。

生效后我們可以在Android Studio的標(biāo)題欄中找到Fortify選項(xiàng)，在Fortify->Analysis Settings...選項(xiàng)中，我們可以配置該插件掃描源碼的規(guī)則和配置。

蕞后，我們點(diǎn)擊Fortify->Analyze Project選項(xiàng)，即可掃描項(xiàng)目并在項(xiàng)目的根目錄生成fpr文件

當(dāng)您選擇某個(gè)問題后，Analysis Trace（分析跟蹤）面板會(huì)顯示相關(guān)的 trace output。通常情況下，這是一系列進(jìn)程點(diǎn)，顯示了分析器是如何找到該問題的。對(duì)于數(shù)據(jù)流和控制流問題，這一系列點(diǎn)會(huì)以執(zhí)行順序顯示。

例如，如果您選擇某個(gè)與可能被數(shù)據(jù)流相關(guān)的問題，Analysis Trace（分析跟蹤）面板會(huì)顯示這段源代碼中數(shù)據(jù)流的移動(dòng)方向。

“Analysis Trace（分析跟蹤）”面板使用以下圖標(biāo)來顯示本段源代碼中數(shù)據(jù)流的移動(dòng)方式：

表 1：分析跟蹤圖標(biāo)

新一代 Fortify 發(fā)布，搶先部署等你來！

此次更新的軟件服務(wù)包括：Static Code Analyzer、WebInspect、Software Security Center、Software? Analysis。其中 Fortify Static Code Analyzer提供靜態(tài)代碼分析器（SAST），源代碼審計(jì)工具fortify版本，F(xiàn)ortify WebInspect是動(dòng)態(tài)應(yīng)用安全測(cè)試軟件（DAST）。

Fortify SAST 新增功能

SAST Speed Dial

根據(jù)應(yīng)用需求調(diào)整掃描深度，以更好地控制靜態(tài)測(cè)試的速度和準(zhǔn)確性。通過 CI 撥號(hào)設(shè)置將掃描速度提高50%，并在需要時(shí)保存深度 SAST 掃描。新增功能如下：

1. 增加3級(jí)和4級(jí)支持

2. 將中間顯影掃描速度提高50%（減少報(bào)告問題）

3. 減少 Java 和 C/C++ 等類型語(yǔ)言的掃描時(shí)間

4. 4級(jí)支持提供完整掃描