HP Fortify erstellt keine 'Batch'-Datei

Question

Alle, Ich versuche, einen statischen Scan in einem Code-Repository durchzuführen, und der Scan-Assistent in HP Fortify SCA und Applications 4.42 erstellt die Batch-Datei für den Scan nicht.

Ich kann die Projektwurzel hinzufügen, das System findet dann alle Dateien, etwa 18.000-ish.

Dann wird der 2. Bildschirm mit den Dateitypen und deren Anzahl angezeigt. Ich klicke auf den nächsten Knopf.

Dann erscheint die Seite Abhängigkeiten mit der Liste nicht aufgelöster Klassen. Ich klicke auf den nächsten Knopf. Und das ganze Fenster verschwindet ...

Normalerweise würde ein Fenster mit den verschiedenen Sprachoptionen angezeigt werden und ich wäre in der Lage, die Version von Java oder Pl/Sql auszuwählen, die ich verwenden möchte. Das passiert nicht.

Hat jemand irgendwelche Vorschläge, wie ich das funktionieren könnte?

Danke, Larry

Answer 1

Hat Fortify Statische Code Analyzer (SCA) ein Fortify Projektbericht (FPR) Datei erstellen? Ist dies der Fall, öffnen Sie es in der Audit Workbench (AWB) oder laden Sie das FPR in das Software Security Center (SSC) hoch, um sich die Scanfehler anzusehen.

Die FPRs werden auf der Registerkarte "Scan" im SSC aufgelistet.

Die Scanfehler finden sich in einem roten Punkt in der Dateiauflistung.

Auf der anderen Seite, wenn Sie sich auf einer FPR-Datei im AWB suchen, öffnen Sie die „Analyse Information“

und dann unter dem suchen Sie nach " Warnungen "Registerkarte.

Ich vermute jedoch, dass es SCA nicht gelungen ist, ein FPR zu erzeugen.

In jedem Fall betrachten Sie Ihre SCA-Protokolldatei für den Bericht von nicht aufgelösten Klassen. Die Protokolldatei befindet sich unter C: \ Users_user_ \ AppData \ Local \ Fortify \ sca6.4 \ log für mit Fortify 4.40 durchgeführte Scans. Möglicherweise haben Sie Bibliotheken mehr als einmal eingebunden. Oder eine erfolgreiche Kompilierung resultierte aus der Einbindung von Bibliotheken aus Tomcat oder anderen Quellen, die SCA in der Codebasis nicht finden konnte.

Answer 2

Es gibt zwei verschiedene Dinge zu versuchen:

Berechtigungen

Führen Sie den Scanwizard als Administrator (Rechtsklick -> Als Administrator ausführen). Dadurch wird sichergestellt, dass keine Berechtigungsprobleme bestehen.

Speicher

Dies könnte mit dem Gedächtnis und die Menge der Dateien werden tun sieht. Während das Programm läuft, sehen Sie sich den Prozess an, um zu sehen, wie viel Speicher belegt wird. Standardmäßig erhält ScanWizard JVM 300 MB zum Arbeiten.

Dies muss möglicherweise erhöht werden. Dies wird in der Datei ScanWizard.cmd geändert.

Ort: <HPE Fortify Install>/bin/ScanWizard.cmd

öffnet mit Ihrem bevorzugten Texteditor und ändern Sie die -Xmx300M Befehl Option dieser Zeile:

"%JAVA_CMD%" -Xmx300M -jar "%~dp0\..\Core\lib\ScanWizard-16.10.jar" %*

Dies ist eine Standard-JVM-Option, so hält die Werte als ganze Zahlen und verwende M oder G (kein Platz für Einheit)

Beispiele:

• "%JAVA_CMD%" -Xmx800M -jar "%~dp0\..\Core\lib\ScanWizard-16.10.jar" %*
• "%JAVA_CMD%" -Xmx1G -jar "%~dp0\..\Core\lib\ScanWizard-16.10.jar" %*
• "%JAVA_CMD%" -Xmx2G -jar "%~dp0\..\Core\lib\ScanWizard-16.10.jar" %*

Side Hinweis

Persönlich mag ich nicht die Scanwizard, schafft es sehr komplexe Batch-Dateien. Ich bevorzuge es, meine eigenen Batch-Dateien zu erzeugen, indem ich die sourceanalyzer.exe direkt aufruft.