Fortify OnDemand в службах Azure Devops (VSTS) - PullRequest
2 голосов
/ 11 июня 2019

Мы планируем внедрить CI / CD со службами Azure DevOps. Одним из ключевых моментов в требовании была интеграция Fortify On Demand в конвейер сборки.

Я попытался добавить задачи SCA Fortify On Demand в конвейер сборки, и для его заполнения требуется всего несколько предварительных полей. Просто перед началом нужно несколько посоветовать ..

  1. Должна ли задача фортификации срабатывать перед сборкой или после строить. Мы используем Fortify On Demand (SaaS) для ускоренного строительства.

Любая помощь будет высоко ценится. Спасибо!

1 Ответ

1 голос
/ 14 июня 2019

Fortify on Demand требует отладочной сборки, включающей все зависимости для сканирования кода, поэтому вы должны сделать это после сборки.

Как правило, у вас будет отдельная недельная сборка только для сканирования Fortify. Он выполняет отладочную сборку и загружает артефакт в Fortify on Demand. FoD потребуется некоторое время, чтобы завершить сканирование, особенно если у вас есть сотрудники, которые проверяют сканирование и удаляют ложные срабатывания (проверка вручную). Ложные срабатывания все равно будут проходить, поскольку они не знают контекста вашего приложения.

Помните, что перед автоматическим сканированием FoD требует ручного сканирования. Если вы попытаетесь выполнить автоматическое сканирование без предварительного сканирования вручную, вы получите загадочную ошибку о правах.

Вы настроили это, имея 2 релиза для приложения. Сначала выполните ручную разблокировку, которая выполняется путем сборки в режиме отладки и архивирования всего каталога. Вы вручную запускаете сканирование, загружая zip.

Когда это завершится, вы создадите второй выпуск, который будет вашим автоматическим сканированием. Вы импортируете результаты сканирования вручную в автоматическое сканирование. С этого момента плагин Azure должен работать для автоматических проверок, пока не закончится ваша подписка - в это время вам придется выполнять сканирование вручную после продления своих прав, чтобы все снова заработало. Было бы хорошо, если бы они исправили это ...

...