加强对多台机器的扫描

Question

我们在一个团队中工作，并在本地机器上运行 Fortify 软件。我们都在不同的根目录中设置了项目代码，例如我在 C:\work\development\中有项目代码，我的同事很少有类似 C:\Development\mainCodeLine\等的东西，即项目所在的根文件夹-代码驻留不同。最初只有我在 Fortify 工作，但现在有很多团队成员在运行 Fortify。我们目前共享保存在存储库中的 FPR 文件。我们从存储库下载它并在同一文件上运行 SCA 命令，以保留隐藏/抑制问题等细节。在一段时间内，我们观察到:

生成的唯一实例 ID 仅在单台机器上是唯一的。即唯一实例 ID 仅在我的机器上扫描时保持不变，并且在我队友的机器上执行扫描时它会发生变化。有什么方法可以配置 Fortify 使其在多台机器上的多次扫描中保持不变？因此，我们不能在过滤器文件中使用唯一实例 ID。

如果我和我的队友在两台不同的机器上以相同的代码并行运行扫描(只有项目的根目录与前面所述不同)，那么我们有什么办法可以整合这两个报告？

Answer 1

确实有一些方法可以组合在不同机器上生成的扫描结果。我相信实现这一目标的最佳方法是利用 Fortify 软件安全中心 (SSC)。用户每次都进行“新鲜”扫描，当上传到 SSC 中的项目时，它们将被合并——保留任何以前的审计信息。

另一种方法是使用命令行 FPRUtility。 (我目前没有安装在我面前，所以名称可能稍微偏离 - 但它与 sourceanalyzer 和 auditworkbench 一起位于 bin 目录中)。 -h选项应提供开始合并 FPR 的信息。

希望这可以帮助。