源代码扫描工具fortify报告中文插件-华克斯

fortify常见问题解决方法

.net环境匹配问题

由于fortify sca版本对于支持.net环境的版本有限，比如蕞大支持到microsoft sdk 7.0a

版本的sdk，如下---：

1、echo searching vs version....

2、reg query hklm﹨software﹨microsoft﹨microsoft sdks﹨windows﹨v7.0a 2>;nul >;nul

3、if %errorlevel%==0 (

4、set launcherswitches=-vsversion 10.0 %launcherswitches%

5、echo found .net 4.0 setting to vs version 10.0

6、goto vsselected

通过windows注册表中的sdk信息设置扫描依赖版本；

而且，由于windows版本和.net framework版本的差异，环境上往往需要自己增加许多配置项，华东fortify报告中文插件，蕞常见的配置如下：

（1）sdk版本设置：

比如是8.1版本的，源代码审计工具fortify报告中文插件，我们可以修改---文件：

reg query hklm﹨software﹨microsoft﹨microsoft sdks﹨windows﹨v8.1a 2>;nul >;nul

（2）ildasm路径设置

unable to locate ildasm是一个常见问题，在转换中没有寻找到ildasm程序，可以通过以下方法设置：

1、fortify-sca.properties文件增加一行com.fortify.sca.ildasmpath=c:﹨program files (x86)﹨microsoft sdks﹨windows﹨v8.1a﹨bin﹨netfx 4.5.1 tools﹨ildasm（一定是双斜杠）

fortify scancentral dast 新增功能

借助下一代动态应用程序安全测试功能，可以使用 scancentral 和现有的 fortify jenkins 及 fortify azure 插件在 ci/cd 流程中启用、扩展和自动化 dast，从而创建更的 appsec 方法。scancentral dast 新增功能如下：

使用功能性应用程序安全测试 (fast)

fast 以支持 ci/cd 的方式捕获功能测试流量并将其发送到 scancentral dast，进行有针对性的 dast 扫描。与 iast 不同，fast 不受创建测试人员的想法---。fast 扫描应用程序，继续查找功能测试未公开的所有内容。

简化 api 扫描

在21.1.0版本中， 集成的scancentral dast 可以简化 api 扫描，源代码审计工具fortify报告中文插件，使webinspect 传感器中的新工作流自动检测身份验证请求。

增加 hacker level insights

hacker level insights 是一个新框架，可对应用程序进行安全洞察。21.1.0版本中也包含了对 javasc ript ---框架的检测。

配置数据保留策略

在应用程序或扫描级别中配置数据保留策略，允许自动清除陈旧数据，以支持 scancentral dast 数据库维护及高使用环境中的系统性能。

防止应用程序中断

如果正在运行的扫描发生了中断，或强制完成扫描但未启动新扫描时，scancentral dast 将---不会中断应用程序和扫描过程。

提供基本设置功能

基本设置使 scancentral dast 管理员能够跨所有应用程序或特定应用程序扫描设置模板。管理员可以预先配置扫描模板并将其提供给用户，使用户在不了解安全知识的情况下也能扫描他们的应用程序。