Fortify

특정함수를 통과하는 취약점을 예외처리 한다.            

특정 함수에 대해 XSS를 유발시킨다.            

C:\Windows\ServiceProfiles\LocalService\.fortify\ssc\init.token

grep "ProgramName:" system.log                             ProgramName: default                           ProgramName: default -> webgoat – 1                           ProgramName: webgoat – 1

https://microfocuspartner.force.com/

■ docker ps –format “table {{.Names}}\t{{.Ports}}” appdefender_backend_jobs_1       8080/tcp haproxy                          0.0.0.0:1936->1936/tcp, 0.0.0.0:4321->4321/tcp, 0.0.0.0:8443-8444->8443-8444/tcp rsyslog_defender                 0.0.0.0:514->514/tcp, 0.0.0.0:1999->1999/tcp appdefender_command_channel_1    0.0.0.0:32768->8080/tcp appdefender_edge_1               0.0.0.0:32770->4321/tcp appdefender_registrator_1 consul             

▣ consul 클라우드 환경에서 서비스를 연결(Connect), 보안(Secure) 및 구성(Cofigure)하는 분산 Service Mesh, Web-UI 기능 존재 http://teddykwon.com/2017/01/18/consul-install.html http://longbe00.blogspot.com/2017/08/consul.html https://www.consul.io/ ▣ haproxy HAProxy는 기존의 하드웨어 스위치를 대체하는 소프트웨어 로드 밸런서로, 네트워크 스위치에서 제공하는 L4, L7 기능 및 로드 밸런서 기능을 제공한다. https://findstar.pe.kr/2018/07/27/install-haproxy/ https://d2.naver.com/helloworld/284659 http://www.haproxy.org/ ▣ registrator Registrator는 Gliderlabs에서 MIT 라이센스로 만든 Docker container를 자동으로 Consul, etcd, SkyDNS2에

FPR을 ZiP파일로 이름 변경 후 압축을 풀면 아래와 같은 파일들이 풀어진다. <ExternalMetadata> <src-archive> <src-xrefdata> attachments.xml audit.fvdl audit.properties audit.xml audit.fvdl.mac filtertemplate.xml metatable VERSION 이 중 중요한 파일은… ■ FVDL(Fortify Vulnerability Definition Language) 파일은 모든 취약점의 상세 정보와 분석결과가 명시되어 있으나 Critical, High 취약점 갯수 등의 취약점 요약 정보는 없다. ■ audit.xml에는 Suppressed 된 취약점의 목록이 명시되어

■ 개요   Suppressed된 취약점의 IID만 취합하여 재 빌드 시 해당 IID들의 취약점은 무시한다.     ■ 사용 방법   1. fpr_report.sh 스크립트를 사용하여 suppressed_list를 뽑아낸다. bash -c “./fpr_report.sh webgoat.fpr”     2. 스캔 시에 -filter 옵션을 주어 해당 Suppressed 목록은 분석결과에서 필터링 시킨다.   sourceanalyzer -b WebGoat5.0 -filter webgoat_suppressed_list.txt -scan -f WebGoat5.0.fpr ■ 필터파일

■ 개요 SCA 모바일 빌드 세션(MBS)을 사용하면 개발자 PC등의 컴퓨터에서 프로젝트를 빌드하고 더 나은 하드웨어를 갖춘 다른 컴퓨터에서 프로젝트를 스캔할 수 있다. MBS를 사용하면 원본 컴퓨터에서 변환을 수행한 다음 빌드 세션을 더 잘 갖추어진 컴퓨터로 이동하여 스캔을 수행할 수 있다. 개발자는 자신의 컴퓨터에서 빌드을 실행하고 하나의 강력한 컴퓨터만 사용하여 대규모 스캔을 실행할 수 있다. ■

vi ~/.fortify/ssc/conf/app.properties     # Lucene index location on filesystem searchIndex.location=/root/.fortify   # Minimal value for password strength score acceptable for saving new password password.strength.min.score=0