什麼是源碼檢測？Fortify 靜態與動態弱點檢測有何不同？
源碼檢測（靜態應用程式檢測）
源碼檢測又稱原始碼檢測、SAST、白箱測試、靜態應用程式檢測，是針對應用程式的原始碼進行測試與分析，找出潛在的漏洞與弱點並進行修補作業，並非檢查已完成的程式。所以建議在開發階段導入，才能大幅節省修復成本與時間。
動態應用程式檢測
而動態應用程式檢測又稱為黑箱測試、DAST，是透過模擬駭客攻擊的手法，由外而內搜索正在運行中的應用程式漏洞，當發現有漏洞時會自動發送警訊，因此可檢測出靜態應用程式安全測試工具無法識別的缺陷。
應用程式安全檢測對法規的重要性
全球數位化趨勢加劇網路安全風險，促使企業資安防護開始受到外部法規要求。公家機關、金融機構及上市櫃公司陸續面臨需執行源碼檢測、動態應用程式檢測的要求，以確保程式及網頁的安全性。Fortify SCA 與 WebInspect 能協助各行業符合以下規範：
| 金融業 | 製造業 | 半導體業 | 政府單位 | 企業 |
|---|---|---|---|---|
|
|
SEMI E187 | 行政院資通安全管理法 |
證交所上市上櫃公司資通安全 管控指引 |
Fortify 原始碼/網站檢測 找出漏洞落實資安防護
Fortify 提供全方位的原始碼/網站檢測解決方案，包含：
靜態應用程式安全測試 SAST
（Static Application Security Testing）
動態應用系統安全測試 DAST
（Dynamic Application Security Testing）
互動式應用系統安全測試 IAST
（Interactive Application Security Testing）
程式執行階段自我保護 RASP
（Runtime Application Self-Protection）
運用 Fortify SCA（Static Code Analyzer）靜態原始碼檢測分析工具與 WebInspect 動態應用程式檢測工具進行測試與分析，找出程式碼或網站中的安全弱點與資安漏洞產出報告，深入目前企業資安威脅，並對應到此問題所在的程式碼行數，讓 IT、開發及資安人員能快速修復安全弱點，確保原始碼（source code）及網站安全無虞。亦可針對開發、品質保證（Quality Assurance，QA）或生產環境中執行的程式安全應用，迅速鑑別和驗證其中的重大高風險資安漏洞，杜絕惡意程式攻擊 360 度全方位守護企業資安並且降低維運成本。
- 快速找到資安弱點與漏洞位置
- 指出安全弱點詳情，並提供修復建議
- 節省程式開發及弱點修復的成本
- 確保系統上線服務的安全性
- 使用全面的攻擊場景模擬方式，檢測運行中的網站和 web 服務安全漏洞
- 協助驗證一個特定的程式漏洞，在實務上是否可以被利用的資安漏洞
- 協助確認資訊安全問題所在與發生原因，加快軟體程式修復速度
Fortify 源碼檢測工具 從源頭去除資安弱點
- 找出已部署軟體，目前有哪些軟體安全問題
- 減少自行開發中或向供應商採購中的軟體風險
- 滿足遵守內部安全規範或外部安全法的目標
- 儀表板提供檢測結果的即時可視性與互動操作
- 自動化檢測流程修復經驗可以重複分享
- 主動式軟體安全管理，軟體可安全導入到所有軟體開發的流程中
- 整合業界的 QA、軟體開發環境（Integrated Development Environment，IDE）工具與臭蟲追蹤系統，加快漏洞修復
減少尋找及修復軟體中的漏洞問題的時間