HP Fortify SCA與Jenkins的集成

Question

當前，我們使用SonarQube作為源代碼分析器。 但是現在在我們組織中，他們計划使用HP Fortify SCA進行源代碼分析。 我們已經將SonarQube與Jenkins集成在一起，但是我不知道如何將HP Fortify與Jenkins集成。 用谷歌搜索，但是我沒有好的解決方案。 誰能幫我這個忙。

Answer 1

Fortify Jenkins插件

在持續集成版本中使用Fortify Jenkins插件，通過Micro Focus Fortify靜態代碼分析器確定源代碼中的安全問題。 Fortify靜態代碼分析器分析完成后，您可以將結果上傳到Micro Focus Fortify軟件安全中心服務器。 Fortify Jenkins插件還使您能夠查看Jenkins中的分析結果詳細信息。 它提供每個構建的指標和結果概述，而無需您登錄Fortify軟件安全中心。

使用Fortify Jenkins插件，您可以將Fortify靜態代碼分析器與以下構建工具集成：

• 搖籃
• 馬文
• MSBuild
• Visual Studio（devenv）

您也可以不使用構建工具直接掃描源代碼。

來源 。

Answer 2

HPE Fortify確實提供了Jenkins插件。

還有一個社區成員創建了一個Jenkins插件，他的組織使用該插件來集成Jenkins和Cloudscan（ https://marketplace.saas.hpe.com/fortify/content/fortify-cloudscan-jenkins-plugin ）。

這是關於一個客戶如何在他們的公司（插件的作者）中整合Jenkins和CloudScan的很好的討論。 https://www.protect724.hpe.com/thread/22952

Answer 3

我建議為此使用Maven。 有一個可用於強化Maven的插件

與Maven的Fortify集成-安裝

您可以在應用程序pom.xml中使用此插件，並從jenkins執行maven命令。

Answer 4

HP Fortify與Jenkins的集成：

步驟1）在雲服務器上安裝Jenkins插件，或者您可以直接訪問雲Jenkins服務器（如果已在服務器上安裝）。

步驟2）在Jenkins中創建一個文件夾並配置屬性（在左側的配置文件中進行更改）。

第3步）完成配置部分。發布您必須提供安裝fortify的雲服務器鏈接（scar / ssc）和憑據。

• 使用“測試”按鈕測試連接。

    OR 

  如果您具有GitHub鏈接，則可以直接在Jenkins中添加鏈接並使用它們。

步驟4）現在，詹金斯和fortify-SSC之間建立了連接。

Jenkins：這是集成工具，可提供持續集成和持續開發（CI / CD）。

GitHub：GitHub是原始代碼存儲庫，所有代碼都保存在其中。

讓我知道您是否在將Jenkins與Fortify集成時有任何疑問。謝謝