首頁 > 產(chǎn)品中心 > Fortify Static Code Analyzer 
應(yīng)用程序會帶來風(fēng)險和安全漏洞
軟件開發(fā)人員面臨的現(xiàn)實
■ 構(gòu)建新特征與新功能
■ 日益加劇的復(fù)雜性
■ 數(shù)不勝數(shù)的交付日期
■ 日漸萎縮的預(yù)算
■ 產(chǎn)品延期
這些詞語無時無刻不在軟件開發(fā)人員的耳邊縈繞，因為這些正是他們在開發(fā)重要業(yè)務(wù)應(yīng)用程序時所面臨的需求。當(dāng)今的應(yīng)用程序構(gòu)建需要滿足不計其數(shù)的復(fù)雜需求，開發(fā)人員因此感到顧此失彼，安全性考慮只能退居其次。與此同時，各種威脅不斷演變，對手也越來越擅長利用應(yīng)用程序這一軟肋。Fortify Static Code Analyzer (SCA) 可幫助組織抵御當(dāng)今最大的安全風(fēng)險，即運行于企業(yè)內(nèi)部的應(yīng)用程序。
Fortify Static Code Analyzer
Fortify SCA 是一款靜態(tài)應(yīng)用程序安全性測試(SAST) 產(chǎn)品，可供開發(fā)團(tuán)隊和安全專家分析源代碼，檢測安全漏洞。該功能可檢查代碼，能夠幫助開發(fā)人員更快更輕松地識別問題并排定問題優(yōu)先級，然后加以解決。
Fortify SCA 可助力開發(fā)人員：
■ 提前并經(jīng)常性地掃描源代碼
■ 將漏洞的根本原因鎖定到代碼行
■ 關(guān)聯(lián)結(jié)果并對其進(jìn)行優(yōu)先級排序
■ 加快開發(fā)速度并縮短
■ 快速修復(fù)安全漏洞
■ 審視最佳實踐，幫助開發(fā)人員以更安全的方式進(jìn)行編碼
什么是靜態(tài)代碼分析？
靜態(tài)代碼分析可有效識別源代碼中的安全漏洞。靜態(tài)代碼分析應(yīng)當(dāng)在開發(fā)生命周期 的前期完成，并且應(yīng)持續(xù)貫穿應(yīng)用程序的 整個生命周期。它能夠在開發(fā)過程中就代 碼中出現(xiàn)的問題快速向開發(fā)人員提供反饋。
為何?Fortify SCA 非常適合您
全面
Fortify SCA 支持豐富的開發(fā)環(huán)境、語言、平臺和框架，可對開發(fā)與生產(chǎn)混合環(huán)境進(jìn)行安全檢查。
■ 25 種編程語言
■ 超過?911,000 個組件級?API
■ 可檢測超過?961 個漏洞類別
■ 支持所有主流平臺、構(gòu)建環(huán)境和IDE
統(tǒng)計信息
■ 超過?84% 的安全漏洞發(fā)生在應(yīng)用程序?qū)?/span>①
■ 重大?Web 安全漏洞可影響近乎半數(shù)的?Web 應(yīng)用程序②
■ 52% 的?Web 應(yīng)用程序會遇到輸入驗證、跨站點腳本編寫和?SQL 注入等問題③
■ 33% 的應(yīng)用程序從未經(jīng)過安全漏洞測試④
① Gartner 魔力象限報告
② Micro Focus 網(wǎng)絡(luò)風(fēng)險報告
③ 同上
④ 調(diào)研：未進(jìn)行安全性投資的移動應(yīng)用程序開發(fā)人員
準(zhǔn)確
Fortify SCA 可提供準(zhǔn)確的結(jié)果，并且能檢測出大量其他靜態(tài)測試技術(shù)所無法檢測的問題。Fortify SCA 可對漏洞進(jìn)行優(yōu)先級排序， 從而提供準(zhǔn)確的操作計劃，交付已按風(fēng)險劃分等級和分類的問題。該產(chǎn)品遵循由Micro Focus? Security Fortify 軟件安全研究團(tuán)隊擴展和更新的一套最大且最全面的安全編碼規(guī)則。
靈活
Fortify SCA 可融入您的現(xiàn)有開發(fā)環(huán)境。它是一款靈活的命令行靜態(tài)代碼分析器，可通過腳本、插件和?GUI ?工具集成到任何環(huán)境，便于開發(fā)人員快速輕松地啟動運行。
高效
那些需要加速實現(xiàn)應(yīng)用程序安全計劃的組織將從更短的掃描時間中獲益淺。Fortify SCA 可通過提供增量掃描，幫助開發(fā)人員提升編程效率。通過只分析自上一次完整掃描之后變更的代碼部分，增量掃描可縮短運行掃描所需的時間。這將顯著縮短掃描時間，從而讓開人員加速獲得結(jié)果，該產(chǎn)品還能通過支持更加頻繁的掃描來提高工作效率，并可以更快地將軟件投入到生產(chǎn)當(dāng)中。
可擴展
由于應(yīng)用程序來自于公司內(nèi)部、外包、第三方、開源、移動等多個來源，再加上這些應(yīng)用程序具有驚人的數(shù)目和復(fù)雜性，因此想要測試并保持企業(yè)中的所有這些應(yīng)用程序類型的安全無虞便顯得困難重重。Fortify SCA 支持業(yè)內(nèi)大部分編程語言，能夠識別所有類型應(yīng)用程序中的風(fēng)險，并可根據(jù)不斷增長的企業(yè)需求進(jìn)行擴展。
內(nèi)部部署或按需部署
Fortify SCA 能夠以多種交付模式運行，旨在適應(yīng)不斷變化的需求和要求。
■ 內(nèi)部部署 — 適用于部署、管理及現(xiàn)場運行靜態(tài)應(yīng)用程序安全性測試計劃的Fortify SCA。
■ 按需部署 — Fortify on Demand 是一項托管應(yīng)用程序安全性測試服務(wù)，它能 以一種簡單、準(zhǔn)確的方式啟動靜態(tài)、 動態(tài)和移動測試，同時無需前期投資、額外的資源和時間
支持的語言
■ ABAP/BSP
■ ActionScript/MXML (Flex)
■ ASP.NET、VB.NET、C# (.NET)
■ C/C++
■ Classic ASP （帶?VBScript）?COBOL
■ ColdFusion CFML
■ HTML
■ Java（包括?Android）
■ JavaScript/AJAX
■ JSP
■ Objective-C
■ PHP
■ PL/SQL
■ Python
■ T-SQL
■ Ruby
■ Swift
■ Visual Basic
■ VBScript
■ XML
■ Scala
支持的IDE
■ Eclipse
■ IntelliJ Ultimate
■ IntelliJ Community Android Studio
■ IBM Rational Application Developer (RAD)
■ IBM Rational Software Architect (RSA)
■ Microsoft Visual Studio
支持的構(gòu)建工具
■ Ant
■ Jenkins
■ Maven
■ MSBuild
■ Xcodebuild
Fortify 的軟件安全漏洞分類
漏洞類別
談到軟件安全，目前對何謂重大漏洞尚沒有統(tǒng)一的標(biāo)準(zhǔn)。眾多組織都發(fā)布了自己對嚴(yán)重漏洞的解讀，這導(dǎo)致對標(biāo)準(zhǔn)產(chǎn)生了認(rèn)知差異和疑惑。為了幫助開發(fā)人員了解導(dǎo)致安全漏洞的常見編碼錯誤類型，F(xiàn)ortify 編寫了軟件開發(fā)七宗罪（The Seven Pernicious Kingdoms），在其中統(tǒng)一了漏洞的組織分類，并將它們對應(yīng)到?OWASP、SANS、CWE 和?FISMA 等標(biāo)準(zhǔn)中。
作為一家業(yè)界公認(rèn)的頂尖安全組織，F(xiàn)ortify 安全研究團(tuán)隊是一支監(jiān)控新型威脅全球團(tuán)隊。他們會以漏洞檢查的形式將收集到的知識輸送到?Micro Focus Security Fortify 產(chǎn)品套件中，確保及時檢測出最新的威脅。該團(tuán)隊創(chuàng)建了一套漏洞類別分類規(guī)則，力求幫助開發(fā)人員了解各種影響應(yīng)用程序的安全漏洞。
