强化重新扫描问题

Question

强化现实世界场景问题：

我始终存在的真正问题不是在实际纠正要塞问题上，而是在可靠地压制任何被确定为错误肯定的发现时。 我可以在报告中隐瞒它们-我对此很有信心，但这仍然不能防止在随后的代码扫描中发现相同的问题。 反过来，每次我们进行扫描时，都要花费大量时间来抑制它们。

因此，我可能会在一年中多次将更改部署到相同的代码文件中。 因此，每次我需要花费大量时间来消除代码上的误报。

我的流程：-

扫描->确认正面->报告中的抑制->部署->再次进行更改->扫描->确认正面->报告中的抑制->部署。 这个过程重复。

有什么方法可以克服这些反复出现的问题，从而对我有很大帮助。

Answer 1

我认为您遇到的问题需要合并FPR（强化项目报告）。 如果您在一个FPR中执行分析然后进行另一次扫描，则需要进行合并以使先前的分析向前进行。 一些Fortify产品会自动执行此操作。 软件安全中心，VS Studio插件和Eclipse插件会自动将新的FPR与旧的FPR合并。 您也可以使用Audit Work Bench手动合并FPR文件（位于“工具”>“合并审计项目”下），也可以使用FPR Utility使用命令行。 该命令将是：

FPRUtility -merge -project <primary.fpr> -source <secondary.fpr> -f <output.fpr>