fortifySCA发现静态代码(静态分析)和运行中的应用(动态分析)中存在的安全漏洞的根源
?发现**过570种的漏洞类型,支持21种开发语言和**过680000个API
?通过协作更快地修复的安全问题
?控制已部署软件中已经存在的漏洞,使其不产生危害
?管控软件安全流程
?通过利用业界领xian的致力于持续研究应用安全的团队来预防风险
确保与和行业的合规标准以及内部策略一致,例如支付卡行业数据安全标准(PCI
DSS),源代码审计工具fortify扫描,联邦信息安全管理法案(FISMA),萨班斯法案(SOX),Health Insurance Portability and Accountability Act
(HIPAA), North American Electric Reliability Corporation (NERC) 标准等。
– HPE Fortify SCA
分析的流程
运用三步走的方法来执行源代码安全风险评估:
u 确定源代码安全风险评估的审查目标
u 使用Fortify执行初步扫描并分析安全问题结果
u 审查应用程序的架构所特有的代码安全问题
在*yi步中,我们使用威胁建模(如果可用)的结果以及对用于构建该应用的架构和技术的理解,其目标就是寻求一系列的安全漏洞的风险表现形式。在初步检查过程中,我们将结合静态分析和轻量级的人工审查来确定代码中关键点-很可能包含了更多漏洞的地方,西南fortify扫描,初始扫描使我们能够**考虑风险gao的区域。
在审查主要代码过程中,源代码扫描工具fortify扫描,我们的源代码安全分析人员对代码进行审查来寻找常见安全问题,比如大家熟悉的缓冲区溢出、跨站点脚本,SQL注入等。终审查用于调查本应用程序架构所特有的问题,源代码审计工具fortify扫描,一般表现为威胁建模或安全特征中出现的威胁,如自定义身份验证或授权程序等。
Fortify软件
强化静态代码分析器
使软件更快地生产
HPE Security Fortify SCA和SSC是为DevOps SDLC提供动力的新功能
关于本网络研讨会
随着威胁的发展,应用程序的安全性也将如此。 HPE Security Fortify继续创建并新功能,进一步自动化和简化应用安全测试程序。 了解与DevOps要求相一致的新的静态扫描进展。 了解扫描分析如何进一步增强和改进审核流程,以提高安全扫描结果的相关性。
记录2016年10月26日27分钟
由
Fortify的产品经理Michael Right,Fortify的产品经理Emil Kiner