Fortify SCA和Fortify SSC的区别

Question

Fortify SCA和Fortify SSC有什么区别？这些软件产生的报告有没有区别？ 我知道Fortify SSC是一个基于网络的应用程序。我是否也可以使用Fortify SCA作为基于网络的应用程序？

Answer 1

SCA曾被称为源代码分析器（强化360），但现在是静态代码分析器。同样的缩写，相同的代码，只是名称改变了。

SSC（“软件安全中心”）曾被称为Fortify 360服务器。惠普重新命名并进行了其他更改。

SCA是一个命令行程序。您通常使用SCA从静态代码分析的角度扫描代码（通过sourceanalyzer或sourceanalyzer.jar），生成FPR文件，然后使用Audit Workbench打开该文件或将其上载到SSC，您可以在其中跟踪趋势等。

Audit Workbench与SCA一起安装;它是一个图形应用程序，允许您查看扫描结果，添加审核数据，应用过滤器和运行简单报告。

另一方面，SSC是基于网络的;这是一场可以安装到tomcat或者你最喜欢的应用服务器上的java战争。关于SSC的报告使用了不同的技术，更适合运行集中度量标准。您可以报告特定扫描的结果或历史记录（在当前扫描和之前的扫描之间发生了什么变化）。如果您想了解sca扫描的差异，趋势，历史等，请在一段时间内上传FPR后使用SSC进行报告。

没有SSC，基本的报告功能允许您将FPR文件（二进制文件）转换为xml，pdf或rtf，但它只给出特定扫描的结果，而不是历史记录当前扫描和任何更早的扫描）。

偏题：还有一个动态分析产品HP WebInspect。该产品还能够导出FPR文件，这些文件可以同样导入SSC进行报告。如果您希望定期安排动态扫描，WebInspect Enterprise可以做到这一点。