Fortify SCA和Fortify SSC的區別

Question

Fortify SCA和Fortify SSC有什麼區別？這些軟件產生的報告有沒有區別？ 我知道Fortify SSC是一個基於網絡的應用程序。我是否也可以使用Fortify SCA作爲基於網絡的應用程序？

Answer 1

SCA曾被稱爲源代碼分析器（強化360），但現在是靜態代碼分析器。同樣的縮寫，相同的代碼，只是名稱改變了。

SSC（「軟件安全中心」）曾被稱爲Fortify 360服務器。惠普重新命名並進行了其他更改。

SCA是一個命令行程序。您通常使用SCA從靜態代碼分析的角度掃描代碼（通過sourceanalyzer或sourceanalyzer.jar），生成FPR文件，然後使用Audit Workbench打開該文件或將其上載到SSC，您可以在其中跟蹤趨勢等。

Audit Workbench與SCA一起安裝;它是一個圖形應用程序，允許您查看掃描結果，添加審覈數據，應用過濾器和運行簡單報告。

另一方面，SSC是基於網絡的;這是一場可以安裝到tomcat或者你最喜歡的應用服務器上的java戰爭。關於SSC的報告使用了不同的技術，更適合運行集中度量標準。您可以報告特定掃描的結果或歷史記錄（在當前掃描和之前的掃描之間發生了什麼變化）。如果您想了解sca掃描的差異，趨勢，歷史等，請在一段時間內上傳FPR後使用SSC進行報告。

沒有SSC，基本的報告功能允許您將FPR文件（二進制文件）轉換爲xml，pdf或rtf，但它只給出特定掃描的結果，而不是歷史記錄當前掃描和任何更早的掃描）。

偏題：還有一個動態分析產品HP WebInspect。該產品還能夠導出FPR文件，這些文件可以同樣導入SSC進行報告。如果您希望定期安排動態掃描，WebInspect Enterprise可以做到這一點。