HPE Audit WorkBench 项目比较

Question

我在 HPE Audit Workbench 中使用“合并审计项目”选项，一旦项目合并，只会显示新问题。我是否有可能同时看到两个项目版本的问题和新问题？

Answer 1

请记住，合并审计项目旨在合并来自相同代码库（通常来自不同构建）的扫描项目。

如果您正在这样做，您可能需要查看您的视图设置，以确保您看到的不仅仅是“新”问题。

Answer 2

在 Audit Workbench 中查看已删除的问题，您可以这样做 Tools -> How Removed Issues

了解 Audit Workbench 如何将项目合并在一起很重要，它不是“附加”类型的操作。它将两个 FPR（Fortify 项目报告）文件视为对相同代码库的扫描，这些代码库来自代码更改后的扫描或由两个不同审计员/开发人员审计的相同 FPR，并且您希望创建一个包含两个人的审计。

例如：

• FPR A
  • 问题 A
  • 问题 B
• FPR B
  • 问题 B
  • Issuc C

在此示例中，有 2 个 FPR。在 A 中有两个问题，A 和 B。代码已更改并运行了新的扫描 (B)。在新扫描中显示问题 B 和 C。B 在第一次扫描时就存在，C 是代码更改引入的新问题，而 A 已被修复。

当这两个 FPR 合并在一起时，有两个活动问题 B、C。A 被视为已删除，因为它不在最新的 FPR (C) 中。

• FPR C
  • 问题 A（已删除）
  • 问题 B（现有）
  • 问题 C（新）

如果您将来自不同代码库的两次扫描合并在一起，则第一次扫描的问题不会出现在第二次扫描中，因此 Fortify 假定它们已得到修复。

将项目合并在一起的原因之一是将分析/cmets 从先前的扫描移动到当前的扫描中。

另一种情况是，如果两个人审核了同一个 FPR 文件的副本，那么他们希望将两个分析合并到一个文件中。