fortify source code -ysis suite是目前在使用为广泛的软件源代码安全扫描，分析和软件安全风险管理软件。该软件多次荣获的软件安全大奖，包括inforword， jolt，sc magazine….目前众多的软件开发企业都在使用该软件方案在他们的开发团队中加速查找软件安全漏洞的效率，监视和管理软件安全的风险.
fortify sca源代码安全漏洞的审计功能：
1．安全漏洞扫描结果的汇总和问题优先级别划分功能。
2．安全审计自动导航功能
3．安全问题定位和问题传递过程-功能。
4．安全问题查询和过滤功能。
5．安全问题审计结果、审计类别划分和问题旁注功能。
6．安全问题描述和修复建议。
fortify sca使用
2.1安装完成后桌面没有快捷方式的话，-左下角windows图片输入 au，-运行即可。
注意事项
2.2如果打开后出现弹窗-按钮后出现错误提示的话
2.3 替换安装目录的-文件后重新打开软件即可
需要注意的是目录为安装目录，不是压缩包解压目录
2.4 选择java项目或者自动识别项目类型，这里以自动识别项目类型举例，-后选中代码目录。
2.5 选择完目录后运行可能会提示是否更新规则包，fortify测试工具，-是。
2.6 规则更新完成后会弹出配置本次扫描的弹窗
无特殊配置的话一路next蕞后-扫描，等待扫描完成。
2.7 导出扫描报告
扫描完成后即可查看扫描出的问题，-tools ->;reports ->; 即可生成pdf报告
fortify自定义规则
1). 在fortify sca安装的bin目录下找到打开自定义规则编辑器，customruleseditor.cmd，如下图所示：
2). 打开编辑器后，选择file ——>;generate rule，弹出规则向导框。
3). 自定义规则模板可以按照漏洞类型(category)和规则类型rule type进行分类，不管是何种方式分类，这些模板大体-为，数据污染源tainted规则，fortify-，数据控制流规则，数据传递规则，以及漏洞缺陷-的sink规则。只要理解了这些规则模板，和开发语言的函数特征，fortify against，建立规则就简单了。
4) .选择规则包语言，-next，然后填写报名，类名，函数名
5). -next，设置sink点
|
登录后台
