代码审计工具Checkmarx安装环境和安装过程

代码审计工具Checkmarx安装环境和安装过程

Checkmarx是一款以色列研发的代码审计工具，专为.NET开发环境设计，仅在Windows系统上支持安装，代码扫描引擎（code Engine）则支持Linux与Windows。该工具具备扫描未编译代码的能力，用户可以上传源代码ZIP包，实现对代码隐患的早期识别，无需考虑代码编译构建的过程，确保代码安全。与Fortify SCA相比，Checkmarx在这方面展现出更优的性能。

服务器支持环境需满足特定条件，Checkmarx 9.5版本支持JDK17。CsSAST支持的环境包括中间件、浏览器和开发语言。安装时推荐配置VMware服务器，操作系统为Windows Server 2016 64位，配备9核CPU与8GB内存，可根据需求升级至16GB。安装前，确保关闭防火墙，以防影响网络连接与文件传输。安装完成后，服务器需要进行更新，但频繁重启可能影响业务运行，建议使用Windows Server 2012。

在安装过程中，首先需安装.NET依赖环境，完成后重启服务器。在Windows Server 2012安装.NET 4.7.1时可能出现错误，解决方法请参阅相关教程。安装.NET后，正式进入CheckMarx安装界面，选择高级安装，接受协议，然后系统会自动检查所依赖的环境。如遇到第三方环境安装问题，安装包内自带介质可解决。

安装时需确保JDK解压后放置于C盘，并设置环境变量。配置MS SQL数据库连接，可选择本机或远程服务器，测试连接成功。配置消息代理端口与服务账户设置，通常选择默认或使用服务器用户名/密码。扫描引擎地址需注意端口占用情况。输入官方序列号文件进行安装，若无证书则选择请求新许可证。所有配置完成后，进入安装进度监控阶段，直至安装完成。桌面生成的图标分别对应客户端与页面端，页面端使用时可能有卡顿现象，客户端则扫描速度快。两个组件共用同一数据库，可相互查看扫描结果。

Checkmarx CsSAST支持丰富的IDE插件，用户可根据编译器需求自行下载。报告生成为扫描结果提供直观展示。使用Checkmarx时，用户需关注扫描报告，以识别并处理代码安全隐患，确保软件开发过程的安全性与质量。2024-11-06