是否有可能在Jenkins上显示Fortify扫描结果

Question

有没有办法在Jenkins上显示Fortify扫描结果？

我见过只有Jenkins插件才能运行Fortify扫描并将结果上传到Fortify服务器，而不是其他方式。

Answer 1

Fortify有一个Jenkins插件。它允许您在生成后自动将结果上传到Software Security Center。 Jenkins插件还与Software Security Center集成，以显示Jenkins中的扫描结果。在Fortify文档集中，查找名为HP_Fortify_Jenkins_Plugin_TN_4.30.pdf的文档。

Answer 2

我刚刚发现，在谷歌，你可以导入Fortify的结果为SonarCube实例： http://www.sonarsource.com/products/plugins/integration/fortify/

而接下来，你可以使用声纳的Web API发布在詹金斯的结果： how to publish sonar result in jenkins server, or do we have sonar-report jenkins plugin

我希望它有帮助:)

Answer 3

您可以使用Fortify审计工作台（AWB）或Fortify软件安全中心（SSC）审查（又名审计）在Fortify sourceanalyzer.exe步骤中生成的问题（FPR文件）在你的詹金斯脚本中。作为一个开源的构建和部署工具，我不明白Jenkins如何成为审计问题和发布错误报告的合适工具。请澄清您的问题，以解释您想要使用Jenkins服务器上的FPR文件。

Answer 4

是的：您需要调用一个外部脚本（gradle？）并使用带有“-query”参数的FPRUtility命令。您可以在审计工作台中使用“高级...”搜索来测试查询。如果您在合并之前的结果（FPRUtility -merge ...）后执行此操作，则可以实现增量扫描。