Software composition analysis (SCA)
Geautomatiseerde inventarisatie van alle code van derden in een product, getoetst aan bekende kwetsbaarheden en licentievoorwaarden.
Een gemiddelde applicatie bestaat voor 80–90 procent uit andermans code, en het meeste daarvan is door niemand in het team gekozen – het kwam binnen als afhankelijkheid van een afhankelijkheid. SCA-tools lezen manifesten en lockfiles, soms ook binaries, stellen een volledige lijst van componenten en versies op en vergelijken die met CVE-databases en licentiecatalogi. De uitkomst is een kwetsbaarheidsrapport en, met wat geluk, een kant-en-klare SBOM.
Het begon als juristengereedschap: in de jaren 2000 verkocht Black Duck het om GPL-code te vinden die zich in propriëtaire producten verstopte voordat een overname rond was. De beveiliging nam het over na Log4Shell in december 2021, toen veel organisaties niet eens konden zeggen of ze Log4j draaiden. Dependabot, Snyk en OWASP Dependency-Check zijn gangbare voorbeelden. De zwakte is ruis: elke transitieve kwetsbaarheid geeft een melding, ook die in code die nooit wordt aangeroepen.