导入/导出HP Fortify审计结果

Question

设置/背景：

我工作的产品主要包含500kLOC（Java和Javascript）。自Fortify 3. x/4. x以来，我们已经运行了大约十年的Fortify静态分析。我们使用SSC来查看和审核分析结果。这样，除了安全线索之外，团队中可能感兴趣的其他人也可以获得结果。

随着代码的发布，Fortify版本也会定期升级，度量标准也会迁移到新版本。Fortify平台和升级由一个单独的团队管理。我们只要运行扫描，上传fpr。结果在SSC中自动合并。随后，我们对新发现的违规行为进行审计，并对其进行适当的重新调解。通常对于每个版本，都有数百个误报，这些误报被审计为“不是问题”。

问题：

我们正在转移到一个新的平台上——将有一个由另一个团队管理的加强型SSC的新安装。如果我们进行分析并将fpr上传到新的SSC实例，它可能会报告一百万次违规行为。事实上，在我们现有的案例中，这些违规行为已经被审计为“不是问题”。我们需要一种方法来“种子”较新的实例和较旧实例的已审核结果。

因此，我们需要一些方法来导出现有Fortify SSC实例的结果，并在新的Fortify SSC实例中导入相同的结果。

从现有实例中，我知道我可以从包含所有审核结果的“应用程序构件”中“下载应用程序文件”fpr。我想知道，在较新的SSC实例中，通过使用“上传工件”导入，是否会播种审计数据？因此，从下一次扫描开始，我们可以继续上传fpr文件，只报告增量违规。

现有的Fortify SSC版本为17.20。较新的平台强化实例很可能是版本18.10或17.20，但希望不会低于该版本。

Answer 1

TL；博士：

它起作用了。

长答覆：

1. 我已从Fortify SSC 17.20的现有实例“下载了应用程序文件”。这通常是格式-。fpr
2. 我安装了Fortify SSC 17.20的另一个实例
3. 后来，我为项目创建了一个虚拟应用程序和一个版本
4. 我已经使用“Upload Artifact”从步骤1导入了先前下载的fpr。现在，SSC的新实例花了3天时间完全导入并提供审计/指标等
5. 确保审计/指标与源SSC实例相同
6. 随后，执行新扫描并上传新fpr

Fortify成功合并SSC和工件。在随后的上传中，现有的审计将继续进行，不会丢失任何信息。

Answer 2

应该可以，试一试。如果这不起作用，我认为您可以直接从旧实例导出数据库，并将其导入到新数据库。如果两个SSC版本相距很远，数据库模式可能发生了很大变化，数据搬迁可能具有挑战性。如果您有问题，我会直接联系Fortify Support寻求帮助。他们通常反应灵敏。