Fortify自定義規(guī)則

1). 在fortify SCA安裝的bin目錄下找到打開自定義規(guī)則編輯器，d，如下圖所示：

2). 打開編輯器后，選擇File ——>Generate Rule，彈出規(guī)則向?qū)Э颉?/p>

3). 自定義規(guī)則模板可以按照漏洞類型(Category)和規(guī)則類型（Rule Type）進(jìn)行分類，不管是何種方式分類，這些模板大體上分為，數(shù)據(jù)污染源tainted規(guī)則，fortify，數(shù)據(jù)控制流規(guī)則，數(shù)據(jù)傳遞規(guī)則，fortify掃描，以及漏洞缺陷爆發(fā)的sink規(guī)則。只要理解了這些規(guī)則模板，和開發(fā)語(yǔ)言的函數(shù)特征，建立規(guī)則就簡(jiǎn)單了。

4) .選擇規(guī)則包語(yǔ)言，點(diǎn)擊next，然后填寫報(bào)名，類名，函數(shù)名

5). 點(diǎn)擊next，源代碼掃描工具fortify報(bào)告中文插件，設(shè)置sink點(diǎn)

Fortify SCA 安裝

About Installing Fortify Static Code Analyzer and Applicati0ns

描述了如何安裝增強(qiáng)的靜態(tài)代碼分析器和應(yīng)用程序。需要一個(gè)Fortify的許可證文件來(lái)完成這個(gè)過(guò)程?？梢允褂脴?biāo)準(zhǔn)安裝向?qū)?，也可以靜默地執(zhí)行安裝。還可以在非windows系統(tǒng)上執(zhí)行基于文本的安裝。為了獲得蕞佳性能，請(qǐng)盡量在掃描的代碼駐留的同一本地文件系統(tǒng)上安裝Fortify靜態(tài)代碼分析器。

注意:在非windows系統(tǒng)上，fortify sca，必須以擁有寫權(quán)限的主目錄的用戶身份安裝Fortify Static Code Analyzer和應(yīng)用程序。不要將Fortify靜態(tài)代碼分析器和應(yīng)用程序作為沒(méi)有主目錄的非根用戶安裝

security content安全包由安全編碼規(guī)則包和外部元數(shù)據(jù)組成。安全編碼規(guī)則包描述了流行語(yǔ)言和公共api的一般安全編碼習(xí)慣用法。外部元數(shù)據(jù)包括從Fortify類別到可選類別(如CWE、OWASP Th 10和PCI)的映射。.

要升級(jí)增強(qiáng)的靜態(tài)代碼分析器和應(yīng)用程序，請(qǐng)安裝新版本并選擇從以前的安裝遷移設(shè)置。這個(gè)遷移保存并更新了位于/Core/config目錄中的Fortify靜態(tài)代碼分析器工件文件。

安裝新版本后，可以卸載以前的版本。有關(guān)更多信息，請(qǐng)參見卸載Fortify靜態(tài)代碼分析器和應(yīng)用程序。

注意:可以繼續(xù)安裝以前的版本。如果在同一個(gè)系統(tǒng)上安裝了多個(gè)版本，那么在從命令行運(yùn)行命令時(shí)將調(diào)用蕞近安裝的版本。掃描來(lái)自Fortify安全插件的源代碼還使用了蕞新安裝的Fortify靜態(tài)代碼分析器版本。

如果選擇不從以前的版本遷移任何設(shè)置，F(xiàn)ortify建議您保存以下數(shù)據(jù)的備份。

C/C++源碼掃描系列- Fortify 篇

環(huán)境搭建

Linux搭建

解壓的壓縮包，然后執(zhí)行 ./Fortify_SCA_and_Apps_19.2.n 按照引導(dǎo)完成安裝即可，安裝完成后進(jìn)入目錄執(zhí)行sourceanalyzer來(lái)查看是否安裝完成

然后將 rules 和 ExternalMetadata 拷貝到對(duì)應(yīng)的目錄中完成規(guī)則的安裝。

Fortify的工作原理和codeql類似，首先會(huì)需要使用Fortify對(duì)目標(biāo)源碼進(jìn)行分析提取源代碼中的信息，然后使用規(guī)則從源碼信息中查詢出匹配的代碼。