Fortify

git clone https://github.com/WebGoat/WebGoat.gitgit clone https://github.com/OWASP-Benchmark/BenchmarkJava.gitgit clone https://github.com/DataDog/dd-trace-java.gitgit clone https://github.com/juice-shop/juice-shop.gitgit clone https://github.com/snyk-labs/nodejs-goof.git

1_make_compile_commands_json.bat 2_ue5_fortify_translate.bat ue5_fortify_translate.py

OpenText Fortify의 sourceanalyzer를 사용하여 Swift 프로젝트를 분석하는 방법을 설명드립니다. Swift 분석은 다른 언어와 약간 다른 접근이 필요합니다. 1. 필수 준비 사항 2. 기본 분석 방법 방법 1: 직접 컴파일 명령 사용 bash sourceanalyzer -b MySwiftProject swiftc -emit-object MyFile.swift 방법 2: Xcode 프로젝트 분석 bash sourceanalyzer -b MySwiftProject xcodebuild -workspace MyProject.xcworkspace -scheme MyScheme 3. Swift Package Manager(SPM)

OpenText Fortify의 sourceanalyzer를 사용하여 Visual C/C++ 프로젝트를 분석하는 방법을 단계별로 설명드립니다. 1. 필수 준비 사항 2. 기본 분석 명령어 bash sourceanalyzer -b <빌드ID> <컴파일러명> <컴파일옵션> <소스파일> 예시: bash sourceanalyzer -b MyProject cl /c /EHsc myfile.cpp 3. Visual Studio 프로젝트 분석 방법 방법 1: 명령줄에서 직접 컴파일 bash sourceanalyzer -b MyProject -clean sourceanalyzer -b MyProject msbuild MyProject.sln

이전 이름 새로운 이름 Fortify Static Code Analyzer OpenText™ Static Application Security Testing (OpenText SAST) Fortify Software Security Center OpenText™ Application Security Fortify WebInspect OpenText™ Dynamic Application Security Testing (OpenText DAST) Fortify on Demand OpenText™ Core Application Security Debricked OpenText™ Core Software Composition Analysis (OpenText Core SCA) Fortify Applications and Tools OpenText™ Application Security Tools

■Translation options   -disable-language <languages>    변환(translation) 단계에서 제외할 언어들을 콜론(:)으로 구분하여 지정합니다.    지원하는 언어 값은 다음과 같습니다:      abap, actionscript, apex, cfml, cobol, configuration, cpp, dart, dotnet, golang, objc, php, python, ruby, swift, vb.    property name: com.fortify.sca.DISabledLanguages   -enable-language <languages>    변환할 언어들을 콜론(:)으로 구분하여 지정합니다.    지원하는 언어는 위의 -disable-language와

False Positive (거짓 양성)  실제로는 음성인데 검사 결과는 양성인 경우  1종 오류(type I error)라고도 한다. False Negative(거짓 음성)  실제로는 양성인데 검사 결과는 음성인 경우  2종 오류(type II error)라고도 한다. True Positive(참 양성)  실제로 양성이고 검사 결과도 양성인 경우 True Negative(참 음성)  실제로 음성이고 검사 결과도 음성인 경우

1. MySQL Database 백업  mysqldump –quote-names –single-transaction –routines –triggers –events –hex-blob –default-character-set=utf8mb3 –max_allowed_packet=2048M -u root -p<Password> db_ssc_2222 > 20240801_ssc_backup.sql 2. SSC 설치 진행  Database 항목에서 DB Connection 테스트 후 우측하단 스크립트 다운로드에서 ssc-migration.sql 다운로드  (하단 그림 참고) 3. ssc-migration.sql 스크립트로 DB 마이그레이션 진행  mysql -u root -p<Password> db_ssc_2222 < ssc-migration.sql   만일 오류 발생 시

https://microfocus.my.site.com/-> Sign in로그인 후 파트너 포털로 연결됨. Sales Tools > Enablement & Demonstrations Cybersecurity > Access Demo Software & Licenses Application Security > Fortify Partner Evaluation Sub SW E-LTU Submit Request for Software Eval  Quantity*: 1  Confirm ————————————————- https://sld.microfocus.com/계정 선택: JonSeok_Lee_Personal_Account  “↓다운로드” 클릭    제품: Fortify Static Code Analyzer    제품 이름 : Fortify Partner

fortify_ssc_report.java ssc_info.conf RUN.BAT run.sh

AnalysisDownloadToken최대 사용량: 무제한최대 생존 일수:90이 다용도 토큰 사양은 사용자가 FPR(Fortify 프로젝트 보고서)을 프로그래밍 방식으로 다운로드하고 사용자와 관련된 모든 애플리케이션 버전을 나열하려는 경우 SSC(소프트웨어 보안 센터)에 대한 인증을 용이하게 하는 데 사용해야 합니다. AnalysisUploadToken최대 사용량:무제한최대 생존 일수:90이 다중 사용 토큰 사양은 사용자가 여러 업로드를 위해 FPR(Fortify Project Report)을 프로그래밍 방식으로 애플리케이션 버전에 업로드하고 사용자와 연결된 모든

출처: https://vulncat.fortify.com/ko 1.입력데이터 검증 및 표현 (Input Validation and Representation)  프로그램 입력값에 대한 검증 누락 또는 부적절한 검증, 데이터의 잘못된 형식 지정으로 인해 발생할 수 있는 보안취약점.     SQL 삽입    크로스사이트 스크립트(Cross Site Scripting, XSS)    크로스사이트 요청 위조(Cross Site Request Forgery, CSRF)    Format String Bug    Integer Buffer Overflow    Memory

1. 룰팩의 언어를 ko로 변경 후 SSC를 재 시작 한다. 이 부분이 선행되지 않으면 확장룰팩들이 적용되지 않는다.  ADMINISTRATION > Configuration > Core > Locale for rulepacks: ko 2. 확장 룰팩 업로드 3, APPLIATIONS > AUDIT < Group by 에서 확장 룰팩을 선택하여 리스트업 가능.

■개요  CodeQL은 GitHub 보안기능 중 하나로 개발자가 보안 검사를 자동화하고 취약점 진단을 수행하는데 사용되는 분석엔진이다.  CodeQL은 소스코드 컴파일을 모니터링하여 소스코드 내 데이터 흐름이나 변수등을 자체 DB에 저장하고, 전용 쿼리문을 통해 DB에서 원하는 결과를 도출 할 수 있다. ■관련 링크  https://codeql.github.com/docs/codeql-overview/  https://codeql.github.com/docs/codeql-language-guides/codeql-for-cpp/  https://dev.to/aws-builders/find-source-code-vulnerabilities-with-codeql-before-you-commit-2hof  https://github.com/github/codeql-cli-binaries/releases ■라이선스  1. 학문적 연구 또는 개인 사용 가능  2. GitHub.com에 등재된 오픈