Fortify的规则包应当怎样更新，以及规则包更新以后扫描出现的差异又该怎样去判断，这里的关键并不只是把规则更新到最新版本，而是需要弄清楚这次更新会不会改变扫描的结果。Fortify的规则包里面包含了安全规则和与之相关的元数据，SCA可以通过fortifyupdate这个命令去获取或者导入安全内容；在SSC里面，也可以从规则包的页面去执行服务器的更新。规则包发生变化以后，新增的漏洞、消失的漏洞，还有严重等级的变化，都有可能出现，因此在更新前后需要把基准结果保留下来，不能只盯着最终的漏洞数量去看。

在进行Fortify SCA扫描的时候，漏洞并不是立刻被寻找的，在这之前，代码需要经历一个很关键的翻译阶段，很多时候项目出现报错，原因既不在于规则包，也不在于扫描策略，而是代码没被Fortify SCA成功读取进去，关于Fortify SCA翻译阶段怎么配置，以及Fortify SCA翻译日志报错怎么定位，主要需要紧盯着三件事情，也就是构建ID要对得上，依赖路径不能缺失，还有日志里写出的到底是解析错误还是环境错误。

在安全扫描结束并交付结果的时候，大家通常先拿到的是一个FPR格式的文件，而不是直接打开平台的页面去看。要说清楚这个FPR文件到底该怎么打开，以及打开之后要是碰到字段显示不全又要怎么处理，主要取决于你是打算在本地用Audit Workbench来做审计，还是准备把它上传到Fortify Software Security Center里去统一查看。按照Fortify官方的文档说明，Audit Workbench这个工具能够帮助人们对扫描结果进行组织、调查，还有确定优先处理顺序，同时FPR文件也能上传到应用安全的对应版本下面去阅读。

扫描文件明明已经传上去了，可是在页面上就是看不到对应的结果，这种情况在Fortify SSC的使用过程中并不少见；面对Fortify SSC项目里看不到扫描结果的问题，又或者是结果的同步出现了延迟，首先要做的一点并不是直接下结论说扫描失败了，而是要沿着“应用版本、账号权限、上传状态、处理队列、过滤条件、后台日志”这样一条线索去排查。Fortify SSC是以应用和应用版本为单位来管理结果的，在建立一个应用版本的时候，还要求把开发阶段、开发策略、访问级别等必要的属性填好，一旦版本给选错了，看上去就会很像结果被弄丢了。

很多团队在Fortify里说“基线没生效”，实际遇到的常常不是同一类问题。有的是新版本根本没有把上一版本的审计状态带过来，有的是FPR其实上传到了另一条应用版本上，还有的是制品已经上传，但因为处理审批或结果刷新没走完，页面上暂时看不到预期状态。Fortify官方文档把这几层分得很清楚，所以这类问题不能只盯着“规则有没有变”，而要把应用版本、应用状态复制、制品处理和指标刷新放在一条线上看。

做Fortify代码审计时，最容易混掉的是两件事，一件是“这条结果是不是误报，该怎么标”，另一件是“审计注释到底要写到什么程度，后面的人才看得懂”。OpenText官方文档把这条线分得很清楚，审计时可以给问题设置Analysis等审计标签，也可以写COMMENTS；如果确定某条问题以后都不再关心，还可以继续做Suppress，但Suppress属于更强的、偏长期的处理动作。换句话说，误报标注和结果抑制不是同一个动作，注释也不该只写一句“误报”。

Fortify里最容易让团队卡住的，不是问题太多，而是把真正要修的缺陷、暂时接受的风险和明显误报全堆在一起处理。更稳的顺序是先用问题详情和事件路径确认是不是误报，再用审计状态和抑制动作把结果收口，最后把原因记录写成后续还能复核的证据链。Fortify官方文档把问题分析入口放在Source pane和Triage pane里，同时支持查看已抑制问题和维护审计属性，这正好对应这三步。

Fortify扫描失败，先不要急着反复重跑。更常见的原因不是平台本身坏了，而是扫描范围没有命中源码、翻译阶段没成功、输入文件类型不受支持，或者任务其实已经被调起但在执行中失败。Fortify官方文档把排查入口分成三层，也就是分析参数、日志文件和退出码，所以更稳的做法是先查范围，再看日志，最后再对照错误码。

Fortify规则包怎么更新，Fortify规则包在线更新失败如何排查，做好这件事的关键不是多试几次，而是把更新对象、版本口径、验证方式一次讲清楚，避免同一条流水线因为规则包不一致出现告警忽高忽低、门禁忽松忽紧的情况。想让Fortify扫描规则包稳定可控，建议把更新前记录、更新后核对、对照验证三步固定下来。

Fortify扫描c代码怎么配，Fortify扫描c代码编译命令如何采集，最常见的难点不是“命令能不能跑”，而是编译语义抓不全导致翻译不完整，最后扫描结果要么缺文件要么误报飙升。把Fortify扫描c代码当成一条固定流程来做，先把环境与Build ID口径统一，再把编译命令采集做成可复现动作，扫描质量和稳定性会明显提升。