源代码扫描工具fortify扫描-fortify扫描-华克斯

fortify扫描qt项目

fortify对于c++类型的代码扫描需要结合编译指令实现，源代码检测工具fortify扫描，但fortify支持的c++指令并不多，所以有些类似使用qt工具开发的项目就需要做一定调整来适配foritfy的扫描。使用gcc或者cl级别的命令来实现会很麻烦，因为需要对于qt的qmake工具运行逻辑有一定深入分析，fortify扫描，熟知其生成的makefile以来的环境和make工具，难度较大，所以更建议以visual studio的fortify插件为入口，先将qt项目转成visual studio项目，再使用插件扫描，这样就会容易很多。

我们简单介绍一---程:

1、在visual studio中安装qt visual studio tools插件和fortify插件。

2、在qt插件的qt opt选项中配置编译套件，该套件位置可以在qt对应版本下面，比如qt﹨qt5.12.8﹨5.12.8﹨msvc2017。

3、使用qt插件的open qt project file (.pro)...打开对应的qt项目，并使用插件的convert custom build steps to qt/msbuild选项，源代码扫描工具fortify扫描，将项目转成vs项目，并生成对应的.vcsproj文件。

测试能成功运行后，就可以使用fortify进行扫描了。步骤类似与上面的android项目，即可生成对应的fpr文件。另外，如果想要使用命令来自动化的进行项目扫描，但不知道一个类型的项目如何进行适配，可以解压使用插件生成的fpr文件。查看其中audit.fvdl文件中的sun.java.command属性内容，里面包含了该项目生成扫描中间文件的指令参数，可以参考了解如何配置自动化的扫描平台。

fortify 软件安全中心（ssc）

micro focus fortify 软件安全中心（ssc）是一个集中的管理存储库，为企业的整个应用安全程序提供可视性，以帮助解决整个软件组合的安全漏洞。

用户可以评估、审计、优先级排序和管理修复工作，安全测试活动，并通过管理仪表板和报告来衡量改进，以优化静态和动态应用安全测试结果。因为 fortify ssc 服务器位于中心位置，可以接收来自不同应用的安全性测试结果（包括静态、动态和实时分析等），有助于准确描述整体企业应用安全态势。

fortify ssc 可以对扫描结果和评估结果实现关联---，并通过 fortify audit workbench 或 ide 插件（如 fortify plugin for eclipse， fortify extension for visual studio）向开发人员提供这些信息。用户还可以手动或自动地将问题推送到缺陷---系统中，包括 alm octane、jira、tfs/vsts 和 bugzilla 等。