Fortify SCA如何使用！
安装fortify之后，打开
界面：
选择扫描
他问要不要更新？ 如果你购买了可以选择YES。
选择之后出现如下界面
浏览意思是：扫描之后保存的结果保存在哪个路径。
然后点击下一步。
参数说明：
1、enable clean :把上一次的扫描结果清楚，除非换一个build ID，不然中间文件可能对下一次扫描产生影响。
2、enable translation: 转换，把源码代码转换成nst文件
3、64： 是扫描64位的模式，sca默认扫描是32位模式。
4、-Xmx4000m:4000M大概是4G，制定内存数-Xmx4G ：也可以用G定义这个参数建议加
5、-encoding: 定制编码，UTF-8比较全，工具解析代码的时候字符集转换的比较好，建议加，江西fortify规则，如果中文注释不加会是乱码。
6、-diable-source-:rendering:不加载与漏洞无关的代码到审计平台上，不建议加，这样代码显示不全。
一、 Fortify SCA概述
1、Source Code Analysis 阶段概述
Audit Workbench 会启动 Fortify SCA“Scanning（扫描）”向导来扫描和分析源代码。该向导整合了以下几个分析阶段：
转换：使用源代码创建中间文件，源代码检测工具fortify规则，源代码与一个 Build ID相关联，Build ID通常就是项目名称。
扫描与分析：扫描中间文件，分析代码，并将结果写入一个Fortify Project Results(FPR)文件。
校验：确保所有源文件均包含在扫描过程中，使用的是正确的规则包，且没有报告重大错误。
2、安全编码规则包概述
安全编码规则包是 Fortify Software 安全研究小组多年软件安全经验的体现，并且经过其不断努力改进而成。这些规则是通过对编码理论和常用编码实践的研究，而取得的软件安全知识的巨大积累，并且在 Fortify Software 安全研究小组的努力下不断扩展和改进。每个安全编码规则包均包含大量的规则，每个规则定义了一个被 source code analysis 检测出的特定异常行为。
一旦检测出安全问题，安全编码规则包会提供有关问题的信息，让开发人员能够计划并实施修复工作，这样比研究问题的安全细节更为有效。这些信息包括关于问题类别的具体信息、该问题会如何者利用，以及开发人员如何确保代码不受此漏洞的威胁。
安全编码规则包支持多种编程语言，也支持各种经过扩展的第三方库和配置文件。
有关当前安全编码规则包的信息，源代码扫描工具fortify规则，请参见《安全编码规则包参考》。
Fortify常见问题解决方法
内存不足问题
在应用Fortify SCA实施源代码扫描过程中内存不足是分析器（sourceanalyzer）经常报出的一类问题，如下：
扫描过程中：
1、com.fortify.sca.analyzer.AbortedException: There is not enough memory available
2、to complete analysis. For details on making more memory available；
There were 3 problems with insufficient memory. Results may be incomplete.
因此，我们必须对JVM参数进行调整，增加虚拟器内存大小。
（1）确认安装64位的Fortify SCA程序；（这是一个众所周知的JVM问题，32为虚拟机内存大小及其有限）；
（2）安装一个64位的jre，并将其替换HP_Fortify﹨HP_Fortify_SCA_and_Apps_3.80﹨的jre目录（就算你安装了64位的Fortify SCA程序，该程序默认的jre仍然是32位的）；
苏州华克斯公司-江西fortify规则由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司是一家从事“Loadrunner,Fortify,源代码审计,源代码扫描”的公司。自成立以来，我们坚持以“诚信为本，稳健经营”的方针，勇于参与市场的良性竞争，使“Loadrunner,Fortify,Webinspect”品牌拥有良好口碑。我们坚持“服务至上，用户至上”的原则，使华克斯在行业软件中赢得了客户的信任，树立了良好的企业形象。 特别说明：本信息的图片和资料仅供参考，欢迎联系我们索取准确的资料，谢谢！
