Fortify (Pro)
Fortifyコネクタは、Fortify（OpenText/Micro Focus）からSAST/DASTの結果をインポートします。同じプラットフォームを共有する2つのエディション、SSC（Software Security Center、自己ホスト型）とFortify on Demand（FoD）（SaaS）の両方に対応しています。アカウント全体を同期し、DefectDojoはすべてのアプリケーション（SSCのproject version / FoDのrelease）を検出してそれぞれについてレコードを作成し、そのアプリケーションのissueを検出事項としてインポートします。
Prerequisites
- SSC: FortifyTokenが必要です。これはSSC UIのAdministration → Token Managementで作成します（CIToken/UnifiedLoginToken）。
- FoD: OAuth2 APIキーが必要です。これはSettings → APIから取得するClient IDとClient Secretです（
api-tenantスコープを付与）。
トークンとOAuthのsecretがログに記録されることはありません。
Connector Mappings
- LocationフィールドにFortifyのベースURLを入力します。SSCの場合はサーバーのホスト（コネクタが
/ssc/api/v1を追加します）、FoDの場合はリージョンに応じたAPIホスト（例:https://api.ams.fortify.com）を入力します。 - Editionを
SSCまたはFoDに設定します。 - FoDの場合は、OAuthのClient IDを入力します。SSCの場合は空欄のままにします。
- Token / Client Secretには、SSCのFortifyTokenまたはFoDのOAuthクライアントシークレットを入力します。
- 必要に応じて、インポートする検出事項を制限するためにMinimum Severityを設定します。
DefectDojoは、Fortifyの各アプリケーションをレコードにマッピングし、各issueを検出事項にマッピングします。深刻度はFortify独自のfriority評価（重大/高/中/低）に基づき、タイトルはissueのカテゴリとファイル・行番号を組み合わせたものになります。また、ファイルパス、行番号、kingdom、analyzer、engine typeが引き継がれます。静的解析エンジン（SCA）のissueは静的検出事項として、WebInspect（DAST）のissueは動的検出事項として記録されます。抑制済み・削除済み・非表示のissueはスキップされ、「Not an Issue」と判定されたissueは誤検知としてマークされ、「Exploitable」/レビュー済みのissueは検証済みとしてマークされます。
詳細については、Fortify SSCおよびFortify on DemandのAPIドキュメントを参照してください。