fortify - 如何通过fortify software security center探索audit workbench？

Question

如何从软件安全中心探索强化审计工作台？我能否像在审计工作台中一样在 SSC 中获得审计功能？

Answer 1

静态代码分析器 (SCA) 是在开发人员工作站上运行或在开发或测试构建服务器上运行的命令行程序。您通常使用 SCA 扫描代码(通过 sourceanalyzer 或 sourceanalyzer.jar)并生成 Fortify 项目报告 (FPR) 文件。然后，您可以使用 Audit Workbench 打开该 FPR 文件或将其上传到 SSC，您可以在 SSC 中跟踪趋势、风险态势等。

Audit Workbench (AWB) 与 SCA 一起安装在您的桌面上；它是一个图形应用程序，允许您查看扫描结果、添加审计数据、应用过滤器和运行简单的报告。 AWB 仅向您提供该特定扫描的结果。相比之下，SSC 提供您的应用程序和使用 SSC 的其他应用程序的历史记录(给予适当的访问权限)。

SSC 是一个基于 Web 的 FPR 文件存储库和用于管理我们产品组合应用程序安全性的工具。它是安装到 tomcat 或您最喜欢的应用程序服务器中的 java war。 SSC 上的报告更适合运行集中式指标。您可以报告特定扫描的结果或历史记录(当前扫描与任何先前扫描之间发生的变化)。如果您想要 SCA 扫描的差异、趋势、历史记录等，请使用 SSC 报告 Fortify 问题和随时间的补救措施。趋势报告和投资组合报告仅在 SSC 上可用。

同一 sourceanalyzer.exe(SCA 可执行文件)由 Audit Workbench 和各种 SCA 插件(maven、Jenkins、eclipse、Visual Studio、IntelliJ、XCode 等)调用。 SSC 不运行 SCA。 SSC 管理从 SCA 输出的 FPR 文件，并管理您对 SCA 发现的问题的审计。 SSC 不运行 SCA。 SSC 管理从 SCA 输出的 FPR 文件。