Análisis de composición de software (SCA)
Inventario automático de todo el código de terceros que contiene un producto, cotejado con vulnerabilidades conocidas y condiciones de licencia.
Una aplicación típica es en un 80–90 % código ajeno, y casi nada lo eligió nadie del equipo: llegó como dependencia de una dependencia. Las herramientas SCA leen manifiestos y lockfiles, a veces también binarios, construyen la lista completa de componentes y versiones y la comparan con bases de datos de CVE y catálogos de licencias. El resultado es un informe de vulnerabilidades y, con suerte, un SBOM ya hecho.
Nació como herramienta de abogados: en los años 2000 Black Duck la vendía para encontrar código GPL escondido en productos privativos antes de cerrar una adquisición. La seguridad tomó el relevo tras Log4Shell, en diciembre de 2021, cuando muchas organizaciones no sabían responder a la pregunta de si usaban Log4j siquiera. Dependabot, Snyk y OWASP Dependency-Check son ejemplos habituales. Su punto débil es el ruido: cada vulnerabilidad transitiva genera una alerta, incluso en código que nunca se llama.