通过命令行解释Fortify结果文件(.fpr)

Question

作为自动执行安全代码分析过程的一部分,我有一个Jenkins作业,它使用sourceanalyzer命令行工具生成.fpr结果文件.目前我正在Audit Workbench应用程序中打开此结果文件以查看结果并检查是否有任何新引入的问题等,并以PDF/XML格式从那里生成报告.

有没有人可以通过命令行调用Audit Workbench并生成有关问题的报告,然后我们可以通过Jenkins脚本利用它,然后邮寄结果？在线查看命令行使用情况似乎在fpr生成阶段停止.

提前致谢!

Answer 1

有一个命令行实用程序可以从FPR文件生成报告.

目前有两个报告生成器:Legacy和BIRT.BIRT报告引擎已引入Audit Workbench 4.40版.

以下是使用BIRT报告引擎生成DISA STIG报告的示例

BIRTReportGenerator -template "DISA STIG" -source HelloWorld_second.fpr 
    -output BirtReport.pdf -format PDF -showSuppressed --Version "DISA STIG 3.9" 
    -UseFortifyPriorityOrder

使用遗留的更复杂一点.命令是:

ReportGenerator -format pdf -f LegacyReport.pdf -source HelloWorld_second.fpr 
    -template DisaStig3.10.xml -showSuppressed -showHidden

您可以使用目录中的一个预定义模板报告,也可以使用<SCA Install Dir>/Core/config/reports报告向导生成一个报告,并保存存储C:\Users\<USER>\AppData\Local\Fortify\config\AWB-XX.XX\reports\在Windows目录中的模板.

在Linux/Mac上看看配置文件<SCA Install Dir>/Core/config/fortify.properties的com.fortify.WorkingDirectory属性,这就是报告将被保存