天津源代码扫描工具fortify版本来电咨询「华克斯」崔始源宋茜

这是 Fortify Static Code Analyzer （SCA） 和 Fortify Software Security Center （SSC） 的 Jenkins 插件。

插件信息

该插件增加了使用 Micro Focus Fortify 静态代码分析器执行安全分析、将结果上传到 Micro Focus Fortify SSC、显示分析结果摘要以及根据分析结果设置构建失败标准的功能。

总结

在持续集成构建中使用 Fortify Jenkins 插件，通过 Fortify 静态代码分析器识别源代码中的安全问题。Fortify 静态代码分析器分析完成后，您可以将结果上传到 Fortify 软件安全中心服务器。Fortify Jenkins 插件还使您能够在 Jenkins 中查看分析结果详细信息。它提供了每个构建的指标和结果的概述，而无需您登录 Fortify 软件安全中心。

本文介绍了SonarQube版本更新升级的方法。包括SonarQube升级指南和9.9版本更新说明。

9.9 版升级说明

数据库支持已更新

SonarQube不再支持Oracle版本12C和18C。

现在支持 Oracle 版本 21C。

现在支持 SQL Server 2022。

SonarQube 服务器需要 Java 17

Java 17 需要 SonarQube 服务器。不再支持使用 Java 11。

SonarScanner for .NET 兼容性

在SonarQube中对C#/VB.NET 进行增量分析需要SonarScanner for .NET 5.11+。

社区版、版和企业版的单一Helm图表

sonarqube lts Helm图表不再维护，无法用于安装sonarqube 9.9 lts。要安装Community、Developer或Enterprise Edition，请使用sonarqube Helm图表。数据中心版随sonarqube dce Helm图表提供。

已更新 Docker 映像

如果你使用自签名的证书，你可能需要调整你的Docker配置：Java的安装路径已经改变为

废弃的和变量已被删除

蕞新的配置变量请参见环境变量。

Docker镜像上的标签被替换成新的LTS版本。如果你想避免任何自动的重大升级，我们建议使用相应的标签来代替.lts9.9-<edition>lts-<edition>。

嵌入式系统扫描策略

基于嵌入式软件的扫描，可以在不执行程序代码的情况下，通过静态分析程序特征以发现漏洞。

由于固件程序涉及知识产权，很少公开源代码，在这种情况下需要通过对固件进行逆向工程，再通过程序静态分析技术进行分析。

基于嵌入式软件的漏洞检测，除了应用程序外，还应包含引导加载程序、系统内核、文件系统等环境。

嵌入式系统扫描

嵌入式系统扫描基于嵌入式系统的扫描，应使用相应的工具对嵌入式软件压缩包进行扫描分析，整个分析流程主要分为四个阶段：

di一阶段：识别固件结构体系，提取出待分析的目标程序；

第二阶段：识别固件中存在的软件成分，如操作系统、中间件、应用程序等；

第三阶段：查找整个固件里如第三方库、公私钥的敏感信息；

第四阶段：通过静态分析技术对程序的汇编码进行分析，并与分析工具中内置的漏洞库、恶意代码库等数据库进行匹配，找出待测件中存在的漏洞及风险。