OpenText Fortify
📌 1. CVE (Common Vulnerabilities and Exposures) 목적: 개별 보안 취약점에 고유 식별자(ID)를 부여해 식별 가능하게 함 형식: CVE-2024-12345 내용: 제품, 취약점 설명, 영향 범위 등 간략 정보 운영 주체: MITRE Corporation (미국 정부 후원) 사용 예: 보안 패치나 리스크 관리 도구에서 취약점을 지칭할 때 사용 📌 2. CWE (Common Weakness Enumeration) 목적: 보안 […]
CVE, CWE, KEV, CVSS, EPSS 설명 더 읽기"
📌 1. CVE (Common Vulnerabilities and Exposures) 목적: 전 세계적으로 발생하는 소프트웨어 취약점에 고유 식별자를 부여하여 추적 가능하게 함. 내용: 각 CVE 항목은 고유한 번호(CVE-YYYY-NNNNN)를 갖고, 해당 취약점의 간략한 설명과 참조 링크 포함. 운영: MITRE Corporation, 미국 국토안보부(DHS) 후원 활용: 취약점 관리 시스템, 보안 도구, 패치 관리 등에서 핵심 참조 지표로 활용됨 📌 2.
■Translation options -disable-language <languages> 변환(translation) 단계에서 제외할 언어들을 콜론(:)으로 구분하여 지정합니다. 지원하는 언어 값은 다음과 같습니다: abap, actionscript, apex, cfml, cobol, configuration, cpp, dart, dotnet, golang, objc, php, python, ruby, swift, vb. property name: com.fortify.sca.DISabledLanguages -enable-language <languages> 변환할 언어들을 콜론(:)으로 구분하여 지정합니다. 지원하는 언어는 위의 -disable-language와
[Fortify] sourceanalyzer Command-Line Options 더 읽기"
False Positive (거짓 양성) 실제로는 음성인데 검사 결과는 양성인 경우 1종 오류(type I error)라고도 한다. False Negative(거짓 음성) 실제로는 양성인데 검사 결과는 음성인 경우 2종 오류(type II error)라고도 한다. True Positive(참 양성) 실제로 양성이고 검사 결과도 양성인 경우 True Negative(참 음성) 실제로 음성이고 검사 결과도 음성인 경우
1. MySQL Database 백업 mysqldump –single-transaction –routines –triggers –max_allowed_packet=2048M -u root -p<Password> db_ssc_2222 > 20240801_ssc_backup.sql 2. SSC 설치 진행 Database 항목에서 DB Connection 테스트 후 우측하단 스크립트 다운로드에서 ssc-migration.sql 다운로드 (하단 그림 참고) 3. ssc-migration.sql 스크립트로 DB 마이그레이션 진행 mysql -u root -p<Password> db_ssc_2222 < ssc-migration.sql 만일 오류 발생 시 아래의 스크립트를 실행하여 원상
[Fortify] SSC Database Upgrade 더 읽기"
https://microfocus.my.site.com/-> Sign in로그인 후 파트너 포털로 연결됨. Sales Tools > Enablement & Demonstrations Cybersecurity > Access Demo Software & Licenses Application Security > Fortify Partner Evaluation Sub SW E-LTU Submit Request for Software Eval Quantity*: 1 Confirm ————————————————- https://sld.microfocus.com/계정 선택: JonSeok_Lee_Personal_Account “↓다운로드” 클릭 제품: Fortify Static Code Analyzer 제품 이름 : Fortify Partner
[Fortify] SCA/SSC 데모 라이선스 신청 더 읽기"
fortify_ssc_report.java ssc_info.conf RUN.BAT run.sh
[Fortify] Report Generator 더 읽기"
1. fortify_sca\bin\auditworkbench.cmdset USER_OPTS=-Xmx8G추가 2. fortify_sca\Core\private-bin\awb\productlaunch.cmd-Xmx4G 제거 또는 1번을 생략하고 여기에 Xmx 설정
[Fortify] AWB(Audit WorkBench) 메모리 설정 더 읽기"
AnalysisDownloadToken최대 사용량: 무제한최대 생존 일수:90이 다용도 토큰 사양은 사용자가 FPR(Fortify 프로젝트 보고서)을 프로그래밍 방식으로 다운로드하고 사용자와 관련된 모든 애플리케이션 버전을 나열하려는 경우 SSC(소프트웨어 보안 센터)에 대한 인증을 용이하게 하는 데 사용해야 합니다. AnalysisUploadToken최대 사용량:무제한최대 생존 일수:90이 다중 사용 토큰 사양은 사용자가 여러 업로드를 위해 FPR(Fortify Project Report)을 프로그래밍 방식으로 애플리케이션 버전에 업로드하고 사용자와 연결된 모든
출처: https://vulncat.fortify.com/ko 1.입력데이터 검증 및 표현 (Input Validation and Representation) 프로그램 입력값에 대한 검증 누락 또는 부적절한 검증, 데이터의 잘못된 형식 지정으로 인해 발생할 수 있는 보안취약점. SQL 삽입 크로스사이트 스크립트(Cross Site Scripting, XSS) 크로스사이트 요청 위조(Cross Site Request Forgery, CSRF) Format String Bug Integer Buffer Overflow Memory
[Fortify] 소스코드 보안취약점 기본 분류 더 읽기"
1. 룰팩의 언어를 ko로 변경 후 SSC를 재 시작 한다. 이 부분이 선행되지 않으면 확장룰팩들이 적용되지 않는다. ADMINISTRATION > Configuration > Core > Locale for rulepacks: ko 2. 확장 룰팩 업로드 3, APPLIATIONS > AUDIT < Group by 에서 확장 룰팩을 선택하여 리스트업 가능.
다운로드: https://github.com/WebGoat/WebGoat/releases WebGoat은 보안 문제로 localhost에서만 접속 가능하므로, 외부에서도 접속이 가능하도록 apache 웹서버의 Proxy 기능을 사용하여 외부에서 접속이 가능하도록 구성한다. WebGoat을 systemd 서비스로 추가 웹브라우저에서 http://10.10.10.32/WebGoat 으로 접속
■개요 CodeQL은 GitHub 보안기능 중 하나로 개발자가 보안 검사를 자동화하고 취약점 진단을 수행하는데 사용되는 분석엔진이다. CodeQL은 소스코드 컴파일을 모니터링하여 소스코드 내 데이터 흐름이나 변수등을 자체 DB에 저장하고, 전용 쿼리문을 통해 DB에서 원하는 결과를 도출 할 수 있다. ■관련 링크 https://codeql.github.com/docs/codeql-overview/ https://codeql.github.com/docs/codeql-language-guides/codeql-for-cpp/ https://dev.to/aws-builders/find-source-code-vulnerabilities-with-codeql-before-you-commit-2hof https://github.com/github/codeql-cli-binaries/releases ■라이선스 1. 학문적 연구 또는 개인 사용 가능 2. GitHub.com에 등재된 오픈
