前言

在许多对安全性有所关注的公司中，代码安全扫描已成为一项关键的实践。但是，面对频繁出现的安全漏洞升级，大家可能会感到困惑和头疼。那么，这些令人不安的漏洞究竟是如何被发现的呢？今天我们将为大家揭示安全漏洞发现的奥秘。

fortify 概述

Fortify 是一款广泛使用的静态应用程序安全测试（SAST）工具，由 Micro Focus 开发和维护。

用 Java 语言开发的。具有良好的跨平台兼容性，可以支持多种操作系统，包括 Windows、macOS 和 Linux。

Fortify是一个软件安全套件，提供全面的静态代码分析，web应用程序安全测试，以及运行时应用程序监控和保护功能。它具有代码扫描、漏斗扫描和渗透测试等功能。它的设计目的是有效地检测和定位源代码中的漏洞，扫描速度为每分钟10,000行。Fortify SCA支持广泛的开发环境

它能帮助开发人员识别和修复代码中的安全漏洞。Fortify 支持多种编程语言和框架，包括 Java、C#、C++、Python、JavaScript、Ruby、PHP 等。通过使用 Fortify 扫描代码，您可以提高代码质量，减少潜在的安全风险。

fortify 的主要功能：

静态代码分析：Fortify 会对源代码进行静态分析，找出可能导致安全漏洞的代码片段。它能识别多种类型的安全漏洞，如 SQL 注入、跨站脚本（XSS）、缓冲区溢出等。

数据流分析：Fortify 不仅分析单个代码文件，还跟踪应用程序的数据流。这有助于找到更复杂的漏洞，如未经验证的用户输入在应用程序中的传播路径。

漏洞修复建议：当 Fortify 发现潜在的安全漏洞时，它会为开发人员提供修复建议。这有助于开发团队更快地解决问题，降低应用程序的风险。

集成支持：Fortify 可以与多种持续集成（CI）工具（如 Jenkins、Bamboo 等）和应用生命周期管理（ALM）工具（如 Jira、Microsoft Azure DevOps 等）集成，实现自动化的代码扫描和漏洞跟踪。

报告和度量：Fortify 提供了丰富的报告功能，帮助团队了解项目的安全状况和漏洞趋势。通过这些报告，管理层可以更好地了解应用程序的安全风险，并采取相应的措施。

总之，Fortify 代码扫描是一种强大的应用程序安全测试工具，可以帮助开发团队及时发现并修复安全漏洞，提高软件的安全性和质量。

fortify 扫描原理

Fortify 扫描代码的原理基于静态应用程序安全测试（SAST），通过对源代码进行深入分析，识别潜在的安全漏洞。Fortify 使用多种技术和方法来实现代码扫描，包括以下几点：

语法和语义分析：Fortify 首先对源代码进行语法和语义分析，将代码转换成一种中间表示（Intermediate Representation, IR）。这个过程类似于编译器的前端工作，通过分析代码的结构、变量和函数调用等信息，为后续分析提供基础。

控制流和数据流分析：基于中间表示，Fortify 进行控制流（Control Flow）和数据流（Data Flow）分析。控制流分析关注程序执行的顺序和条件分支，而数据流分析关注数据在程序中的传播路径。这两种分析方法有助于识别复杂的安全漏洞，如未经验证的用户输入在应用程序中的传播路径。

漏洞检测规则：Fortify 有一套内置的、针对各种编程语言和框架的漏洞检测规则。这些规则描述了常见的安全漏洞模式，如 SQL 注入、跨站脚本（XSS）和缓冲区溢出等。基于控制流和数据流分析的结果，Fortify 将代码与这些规则进行匹配，识别出可能的安全漏洞。

漏洞排序和过滤：由于静态分析可能产生一定程度的误报（False Positives），Fortify 提供了一套算法对检测到的漏洞进行排序和过滤。这有助于开发团队专注于修复最关键和高风险的漏洞。

漏洞修复建议：当 Fortify 发现潜在的安全漏洞时，它会为开发人员提供修复建议。这有助于开发团队更快地解决问题，降低应用程序的风险。

报告生成：Fortify 会生成详细的报告，列出发现的安全漏洞、所在的代码位置、漏洞类型、风险等级以及修复建议。开发团队可以利用这些报告来了解项目的安全状况和优先处理高风险的漏洞。

通过上述技术和方法，Fortify 对代码进行深入分析，识别出潜在的安全漏洞，并为开发团队提供修复建议。这有助于提高软件的安全性和质量，降低应用程序面临的风险.

fortify 的修复建议如何而来？

Fortify 的修复建议是根据已知的安全最佳实践和漏洞修复方法生成的。当 Fortify 扫描代码并检测到潜在的安全漏洞时，它会分析问题的根源以及可能的解决方案。修复建议的生成依赖于 Fortify 的知识库，其中包含了大量关于不同编程语言和框架的安全知识和修复方法。

当您提到“推荐版本”时，这通常与依赖库或第三方组件的版本有关。许多应用程序依赖外部库或组件，而这些库或组件可能存在已知的安全漏洞。Fortify 会检测这些已知漏洞，并为您提供一个修复建议，通常是将依赖库升级到一个已修复漏洞的版本。

例如，假设您的 Java 项目使用了一个存在已知安全漏洞的 Apache Struts 版本。Fortify 会识别出这个问题，并建议您将 Apache Struts 升级到一个修复了该漏洞的版本。

这种情况下，推荐版本是基于已知的漏洞修复和安全更新。Fortify 会关注各种安全信息来源，如 CVE（Common Vulnerabilities and Exposures）数据库、供应商发布的安全公告等，以跟踪不同组件和库的已知漏洞及其修复方法。

CVE（Common Vulnerabilities and Exposures）数据库

CVE（Common Vulnerabilities and Exposures）数据库是一个公开的、全球性的安全漏洞数据源，用于记录已公开的软件和硬件安全漏洞。CVE 项目由美国的 MITRE 公司维护和管理，同时受到美国国土安全局（DHS）赞助。

CVE 数据库的主要目的是为安全漏洞提供一个唯一的、标准化的命名约定，以便安全研究人员、开发人员和 IT 专业人员能更容易地共享和讨论漏洞信息。每个 CVE 条目都分配有一个唯一的 CVE 标识符，如 CVE-2021-12345。

CVE 数据库的主要特点包括：

标准化命名：CVE 为每个已知漏洞分配一个唯一的、标准化的名称，使得跨足各种安全工具、报告和数据源讨论相同漏洞变得容易。

公开可用：CVE 数据库对公众开放，任何人都可以访问和查询。这使得安全从业者和开发人员能够了解和跟踪已知漏洞，以便更好地保护自己的系统和应用程序。

全球性：CVE 数据库涵盖了全球范围内的已知漏洞。虽然它主要由美国的组织维护，但它记录了世界各地的安全漏洞。

跨平台：CVE 数据库包括各种软件和硬件平台上的漏洞，从操作系统、应用程序到嵌入式设备和网络设备等。

请注意，CVE 数据库只提供漏洞的基本信息，如漏洞描述、影响的产品和版本等。对于如何修复漏洞或详细的技术细节，您需要查阅相关的安全公告或参考其他安全资源，如美国国家漏洞数据库（NVD）。

要访问 CVE 数据库，您可以访问其官方网站：https://cve.mitre.org/ 或者使用第三方提供的 CVE 查询工具。

fortity对各个项目的适用情况

Fortify 适用于各种规模的公司和团队。从创业公司、中小企业到大型企业，Fortify 都能为开发团队提供有效的安全漏洞检测和修复建议。由于 Fortify 支持多种编程语言和框架，因此它可以广泛应用于不同类型的软件项目。

以下是 Fortify 对不同规模公司或团队的适用性：

创业公司和中小企业：这些公司通常有较小的开发团队和有限的资源。使用 Fortify 可以帮助他们在早期阶段发现和修复安全问题，降低潜在的风险，提高软件质量。Fortify 可以成为这类公司安全实践的重要组成部分。

大型企业：大型企业通常有多个开发团队和复杂的软件项目。Fortify 可以帮助这些公司统一安全策略，确保所有项目遵循相同的安全标准。此外，Fortify 的集中式管理功能可以帮助大型企业更好地监控和跟踪安全问题，以便及时解决。

政府和非营利组织：这些组织通常对数据安全和隐私有严格要求。Fortify 可以帮助他们确保软件项目符合相关法规和标准，从而降低合规风险。

总之，Fortify 适用于各种规模的公司和团队，可以帮助他们在开发过程中发现和修复安全问题，提高软件的安全性和质量。无论是初创公司还是大型企业，都可以从 Fortify 的安全检测功能中受益。

fortify 的部署

部署 Fortify 到项目中涉及到以下几个关键步骤：

选择合适的 Fortify 解决方案：确保选择适用于您项目的 Fortify 解决方案，例如 Fortify Static Code Analyzer（SCA）、Fortify Software Security Center（SSC）等。了解每个组件的功能以便根据项目需求进行选择。

获取并安装 Fortify：从 Fortify 官方网站或销售代表处购买所需的 Fortify 许可证。下载相应的安装文件，并按照提供的安装指南进行安装。确保已安装支持您项目编程语言和框架的相关插件。

配置 Fortify：安装完成后，根据项目需求配置 Fortify。这可能包括设置扫描规则、漏洞检测规则、报告选项等。同时，根据需要配置 Fortify SSC（如果使用）以实现集中式漏洞管理。

集成到开发环境和流程：将 Fortify 集成到您的项目开发环境和流程中。这可能包括将 Fortify 集成到持续集成/持续部署（CI/CD）流程中，以便在代码提交、构建和部署过程中自动执行扫描。此外，还可以将 Fortify 集成到集成开发环境（IDE）中，以便开发人员实时检查代码中的安全问题。

执行扫描并分析结果：使用 Fortify 对项目代码执行安全扫描。您可以根据需要配置扫描选项，如扫描范围、漏洞检测规则等。扫描完成后，分析生成的报告，其中包括发现的漏洞、风险评级和修复建议。

漏洞修复和管理：根据 Fortify 提供的修复建议，修复项目中发现的安全漏洞。如果使用 Fortify SSC，您可以利用其集中式管理功能对漏洞进行跟踪和管理。确保在修复漏洞后再次执行扫描，以验证问题是否得到解决。

持续监控和更新：定期更新 Fortify 及其知识库，以便随着新的漏洞和修复方法的发现，Fortify 能够继续提供有效的安全检测。同时，持续监控项目的安全状态，以便在新的安全问题出现时迅速采取行动。

部署小技巧

docker现在这么流行，像这种工具软件，首先就得找找它有没有docker镜像，简化我们的部署流程。fortify也不例外。

Fortify CI Tools容器简化了将Fortify静态应用程序安全测试(SAST)集成到DevSecOps管道中的过程，这些管道使用可配置的运行程序来执行CI/CD工作流。GitLab和GitHub是两个可配置的支持运行程序的平台，其中可以使用Fortify CI Tools容器。这些工具同时支持本地(SSC/ScanCentral)和SaaS(按需强化)；

fortify镜像地址： https://hub.docker.com/r/fortifydocker/fortify-ci-tools

docker pull fortifydocker/fortify-ci-tools

结语

在这篇文章中，我们深入探讨了安全漏洞的来源、发现过程以及如何通过代码安全扫描工具，例如 Fortify，来应对这些挑战。通过持续地关注安全漏洞并采取有效的安全措施，公司和开发团队可以大大降低潜在的风险，并确保项目的安全性和质量。希望这篇文章能帮助您更好地理解安全漏洞的发现和管理过程，从而为您的团队提供更强大的安全防护。