软件源代码安全测试工具

xiechungang

Fortify Source Code Analysis Suite是目前在全球使用最为广泛的软件源代码安全扫描，分析和软件安全风险管理软件。Fortify SCAs各组件及功能的详细说明：

1、源代码分析引擎

Fortify SCAs中有五大分析引擎：数据流、控制流、语义、配置流和代码结构分析引擎，其功能如下：
数据流引擎：独特的数据流分析技术，跟踪被感染的、可疑的输入数据，直到该数据被不安全使用的全过程，并跨越整个软件的各个层次和编程语言的边界。
语义引擎：独特的语义分析技术发现易于遭受攻击的语言函数或者过程，并理解它们使用的上下文环境，并标识出使用特定函数或者过程带来的软件安全的隐患
控制流引擎：独特的控制流分析技术精确地跟踪业务操作的先后顺序，发现因代码构造不合理而带来的软件安全隐患。
配置流引擎：独特的配置流分析技术分析软件的配置和代码的关系，发现在软件配置和代码之间，配置丢失或者不一致而带来的安全隐患
结构引擎：独特的代码结构分析技术从代码的结构方面分析代码，识别代码结构不合理而带来的安全弱点和问题。
2、代码安全规则集

Fortify 拥有目前最大的安全代码规则集，最全面，最彻底进行安全漏洞检查。目前它包括200多种类别的安全漏洞，其安全代码规则多达50000多条。规则内容涉及ASP,PHP，JavaScript, C/C++, C#, ColdFusion, Java, JSP, PL/SQL, T-SQL, XML, VB.NET 和其它 .NET 语言。
3、IDE集成开发插件

Fortify SCAs提供与流行的开发IDE环境的集成插件，方便开发人员或安全测试人员对应用系统源代码进行安全测试。目前支持的IDE工具有：Eclipse 2.X /3.X , Microsoft® Visual Studio 2003/2005, IBM® RAD 6/7 , WSAD 7
4、安全审计工作台