让SAP“一眼倾心”，Fortify的魅力难以抗拒！基于SAP的产品安全战略要求，开发过程中的静态分析要确保所有应用程序的安全性与抗击网络威胁的能力，从而保护客户和公司的业务安全。MicroFocusFortify是助其成功的关键因素。SAP用自主维护的静态分析工具来分析以专有ABAP语言编写的应用程序。但对于Java（ABAP后SAP蕞常用的编程语言），源代码检测工具fortifysca，公司决定采纳第三方的服务。他们的选择是行业的leader——MicroFocusFortify，现在，SAP已将Fortify完全整合到他们的开发全生命周期之中。于是，SAP与Fortify一起设计和实施了应用静态分析的综合解决方案，即基于Fortify软件安全中心（SSC）和Fortify静态代码分析器（SCA）的综合解决方案，以Java、C#、JSP等语言为主。FortifySCA扫描结果展示2.根据历史的人工漏洞审计信息进行扫描报告合并如果我们的项目在以前做过fortifysca的扫描，并经过开发人员或安全人员审计，那么历史的审计信息可以沿用，fortifysca，每个漏洞都有一个编号instanceID，源代码审计工具fortifysca，已经审计过确认是误报的漏洞是不会重复出现的。报告合并我们可以通过fortifyssc或者fortifysca的命令行或者图形界面操作。3.利用大数据分析和机器学习做漏洞误报屏蔽目前这是正在探索的一个方向，但这个方式需要大量可靠的漏洞审计样本，源代码扫描工具fortifysca，如果样本少的话会很难操作。Fortifysystem命令执行检测除了使用DataflowSourceRule、DataflowSinkRule等规则来定义污点跟踪相关的属性外，Fortify还支持使用CharacterizationRule来定义污点跟踪相关的特性。Fortify在编译/分析代码过程中会把代码中的元素（代码块、类、表达式、语句等）通过树状结构体组装起来形成一颗structuraltree，然后扫描的时候使用StructuralAnalyzer来解析StructuralRule，蕞后输出匹配的代码。下面以一个简单的示例看看structuraltree的结构，示例代码如下源代码扫描工具fortifysca-华克斯由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司是江苏苏州,行业软件的见证者，多年来，公司贯彻执行科学管理、创新发展、诚实守信的方针，满足客户需求。在华克斯领导携全体员工热情欢迎各界人士垂询洽谈，共创华克斯更加美好的未来。)