fortify - Fortify SCA 和 Fortify SSC 的区别

Question

Fortify SCA 和 Fortify SSC 有什么区别。这些软件生成的报告有什么区别吗？
我知道 Fortify SSC 是一个基于 Web 的应用程序。我也可以将 Fortify SCA 用作基于 Web 的应用程序吗？

Answer 1

SCA 曾经被称为源代码分析器(在 fortify 360 中)，但现在是静态代码分析器。相同的首字母缩写词，相同的代码，只是名称改变了。

SSC(“软件安全中心”)曾经被称为 Fortify 360 Server。 HP 对其进行了重命名并进行了其他更改。

SCA 是一个命令行程序。您通常使用 SCA 从静态代码分析角度扫描代码(通过 sourceanalyzer 或 sourceanalyzer.jar)，生成 FPR、文件，然后使用 Audit Workbench 打开它或将其上传到 SSC，您可以在其中跟踪趋势等。

Audit Workbench 与 SCA 一起安装；它是一个图形应用程序，可让您查看扫描结果、添加审核数据、应用过滤器和运行简单报告。

另一方面，SSC 是基于网络的；它是一个 Java war ，可以安装到 tomcat 或您喜欢的应用程序服务器中。 SSC 报告使用不同的技术，更适合运行集中式指标。您可以报告特定扫描的结果或历史记录(当前扫描与任何早期扫描之间发生的变化)。如果您想要 sca 扫描的差异、趋势、历史等，请在上传 FPR 一段时间后使用 SSC 报告。

如果没有 SSC，基本报告功能允许您将 FPR 文件(二进制)转换为 xml、pdf 或 rtf，但这只会为您提供特定扫描的结果，而不是历史记录(当前扫描和任何更早的)。

题外话:还有一个动态分析产品 HP WebInspect。该产品还能够导出 FPR 文件，这些文件也可以导入 SSC 进行报告。如果您希望定期安排动态扫描，WebInspect Enterprise 可以做到这一点。