FortifySCA安全合规问题规则定制《互联网个人信息保护指南》里指出重要数据在存储过程中应保密，包括但不限于鉴别数据和个人信息。而我们在实际审查中发现，有的应用为了排查问题方便，在服务器中间件Log里记录了用户的姓名、shenfenzheng号、yinhangka号、等敏感信息。这种问题可以通过自动化代码审查发现，而fortify默认的规则是无法识别shenfenzheng号这种信息的，我们可以新建CharacterizationRule来完成对shenfenzheng标识的识别1.增加对合规信息的识别2.定制漏洞描述和修复建议Fortify静态代码分析器（SCA）利用多种算法和扩展的安全编码规则知识库，分析应用程序的源代码，及时发现可修复的漏洞。为更好处理代码，FortifySCA的工作方式与编译器存在相似性——读取并将源代码文件转换为增强的中间结构，以快速执行安全分析。分析引擎由多个专门的分析程序组成，基于安全编码规则分析代码库是否违反了安全编码实践。除此外，FortifySCA还提供规则构建器以扩展静态分析，并包含自定义规则，用户根据受众和任务特性，灵活查看分析结果。Fortify扫描漏洞解决方案LogForging漏洞1.数据从一个不可信赖的数据源进入应用程序。在这种情况下，数据经由getParameter()到后台。2.数据写入到应用程序或系统日志文件中。这种情况下，数据通过info()记录下来。为了便于以后的审阅、统计数据收集或调试，陕西fortify哪里有卖，应用程序通常使用日志文件来储存事件或事务的历史记录。根据应用程序自身的特性，审阅日志文件可在必要时手动执行，源代码扫描工具fortify哪里有卖，也可以自动执行，即利用工具自动挑选日志中的重要事件或带有某种倾向性的信息。如果攻击者可以向随后会被逐字记录到日志文件的应用程序提供数据，则可能会妨碍或误导日志文件的解读。的情况是，攻击者可能通过向应用程序提供包括适当字符的输入，源代码扫描工具fortify哪里有卖，在日志文件中插入错误的条目。如果日志文件是自动处理的，那么攻击者可以破坏文件格式或注入意外的字符，从而使文件无法使用。更阴险的攻击可能会导致日志文件中的统计信息发生偏差。通过或其他方式，受到破坏的日志文件可用于掩护攻击者的跟踪轨迹，甚至还可以牵连第三方来执行恶意行为。糟糕的情况是，攻击者可能向日志文件注入代码或者其他命令，利用日志处理实用程序中的漏洞。陕西fortify哪里有卖-华克斯由苏州华克斯信息科技有限公司提供。行路致远，砥砺前行。苏州华克斯信息科技有限公司致力成为与您共赢、共生、共同前行的战略伙伴，更矢志成为行业软件具有竞争力的企业，与您一起飞跃，共同成功!)