Fortify SCA是一个静态的、白盒的软件源代码安全测试工具。 它通过内置的五大主要分析引挚： 数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，分析的过程中与它特有的软件安全漏洞规则集进行全面地匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并给予整理报告。扫描的结果中不但包括详细的安全漏洞的信息，还会有相关的安全知识的说明，以及修复意见的提供。
Fortify SCA 产品组件及功能：
-
Source Code Analysis Engine（源代码分析引擎）
-
数据流分析引擎-----跟踪,记录并分析程序中的数据传递过程的安全问题
-
语义分析引擎-----分析程序中不安全的函数,方法的使用的安全问题
-
结构分析引擎-----分析程序上下文环境,结构中的安全问题
-
控制流分析引擎-----分析程序特定时间,状态下执行操作指令的安全问题
-
配置分析引擎 -----分析项目配置文件中的敏感信息和配置缺失的安全问题
-
特有的X-Tier™跟踪器-----跨跃项目的上下层次,贯穿程序来综合分析问题
-
Secure Coding Rulepacks ™（安全编码规则包）
-
Audit Workbench（审查工作台）
-
Custom Rule Editor & Custom Rule Wizard(规则自定义编辑器和向导)
-
Developer Desktop (IDE 插件）
Fortify SCA的关键特点：
-
最庞大的安全编码规则包
-
跨层、跨语言地分析代码的漏洞的产生
-
C, C++, .Net, Java, JSP,PL/SQL, T-SQL, XML, CFML
-
JavaScript, PHP, ASP, VB, VBScript
-
精确地定位漏洞的产生的全路径
-
支持不同的软件开发平台
OS: Windows, Solaris, Red Hat Linux,
Mac OS X, HP-UX, IBM AIX
IDEs : Visual Studio, Eclipse, RAD, RSA
|
