Software composition analysis (SCA)
Inventario automatico di ogni porzione di codice di terze parti in un prodotto, verificato rispetto alle vulnerabilità note e ai termini di licenza.
Un'applicazione tipica è fatta per l'80–90 percento di codice altrui, e la maggior parte non è stata scelta da nessuno nel team: è arrivata come dipendenza di una dipendenza. Gli strumenti SCA leggono manifest e lockfile, a volte anche i binari, costruiscono l'elenco completo di componenti e versioni e lo confrontano con i database di CVE e i cataloghi di licenze. Il risultato è un rapporto sulle vulnerabilità e, con un po' di fortuna, un SBOM già pronto.
Nasce come strumento da avvocati: negli anni 2000 Black Duck lo vendeva per scoprire codice GPL nascosto nei prodotti proprietari prima della chiusura di un'acquisizione. La sicurezza ha preso il sopravvento dopo Log4Shell, nel dicembre 2021, quando molte organizzazioni non sapevano rispondere alla semplice domanda se usassero Log4j. Dependabot, Snyk e OWASP Dependency-Check sono esempi comuni. Il punto debole è il rumore: ogni vulnerabilità transitiva genera un avviso, comprese quelle in codice che non viene mai invocato.