C/C++源码扫描系列-Fortify篇环境搭建本文的分析方式是在Linux上对源码进行编译、扫描，源代码扫描工具fortify版本，然后在Windows平台对扫描结果进行分析，所以涉及Windows和Linux两个平台的环境搭建。Windows搭建首先双击Fortify_SCA_and_Apps_20.1.1_windows_x64.exe安装安装完成后，华南fortify版本，把fortify-common-20.1.1.0007.jar拷贝Core﹨lib进行，源代码审计工具fortify版本，然后需要把rules目录的规则文件拷贝到安装目录下的Core﹨config﹨rules的路径下，该路径下保存的是Fortify的默认规则库。ExternalMetadata下的文件也拷贝到Core﹨config﹨ExternalMetadata目录即可执行auditworkbench.cmd即可进入分析源码扫描结果的IDE.FortifySCA扫描结果展示1.根据漏洞的可能性和严重性进行分类筛选我们观察fortify扫描的每一条漏洞，会有如下2个标识，严重性(IMPACT)和可能性(LIKEHOOD)，这两个标识的取值是从0.1~5.0，我们可以根据自己的需要筛选展示对应严重性和可能性范围的漏洞，这些漏洞必须修复，其他不严重的或者难以利用的漏洞可以作为中低危漏洞做选择性修复。如果我们的应用是新闻资讯或者体育类应用，那么我们可以把阈值调高，增加漏报率，降低误报率。如果我们的应用是金融理财或交易类应用，那么我们可以把阈值调低，增加误报率，源代码扫描工具fortify版本，降低漏报率FortifySCA是自动静态代码分析可帮助开发人员消除漏洞，并构建安全的软件。主要功能1、通过集成式SAST，安全编码；通过与IDE集成，开发人员可以在编码过程中实时发现并修复安全缺陷。2、覆盖开发人员使用的语言；获得、准确的语言覆盖范围，并实现合规性。3、启动快速的自动化扫描；启动针对覆盖范围或速度优化过的自动化扫描。4、以DevOps速度修复问题；利用我们丰富的分析结果，深入研究源代码详细信息，使您能够快速分类并修复复杂的安全问题。5、在CI/CD中自动实现安全；自动化扫描，为开发人员保证安全。6、扩展AppSec程序；借助快速、高度优化的静态扫描，保护自定义的开源代码。华克斯-华南fortify版本由苏州华克斯信息科技有限公司提供。华克斯-华南fortify版本是苏州华克斯信息科技有限公司今年新升级推出的，以上图片仅供参考，请您拨打本页面或图片上的联系电话，索取联系人：华克斯。)