SCA（Software Composition Analysis）

典型的なアプリケーションは、80〜90％が他人のコードだ。しかもその大半は、チームの誰かが選んだものではなく、依存先の依存先として紛れ込んだものである。SCAツールはマニフェストやロックファイル、場合によってはバイナリも読み取り、コンポーネントとバージョンの完全な一覧を作って、CVEデータベースやライセンスのカタログと照合する。成果物は脆弱性レポートで、運がよければSBOMもできあがる。

もとは弁護士のための道具だった。2000年代にBlack Duckは、買収が完了する前に、プロプライエタリ製品に紛れ込んだGPLコードを見つける手段としてこれを売っていた。セキュリティ分野が主役になったのは、2021年12月のLog4Shell以降だ。多くの組織が、自社でLog4jを使っているかという単純な問いにすら答えられなかった。代表例にDependabot、Snyk、OWASP Dependency-Checkがある。弱点はノイズで、推移的な脆弱性はすべて警告になり、呼び出されもしないコードの分まで含まれる。