Analiza składu oprogramowania (SCA)
Zautomatyzowana inwentaryzacja całego kodu stron trzecich w produkcie, sprawdzana pod kątem znanych podatności i warunków licencji.
Typowa aplikacja to w 80–90 procentach cudzy kod, a większość z niego nikt w zespole nie wybierał – trafił tam jako zależność zależności. Narzędzia SCA czytają manifesty i pliki blokujące, czasem także pliki binarne, budują pełną listę komponentów i wersji i porównują ją z bazami CVE oraz katalogami licencji. Wynikiem jest raport podatności i, przy odrobinie szczęścia, gotowy SBOM.
Zaczęło jako narzędzie prawników: w latach 2000. Black Duck sprzedawał je jako sposób na wykrycie kodu GPL ukrytego w produktach zamkniętych przed sfinalizowaniem przejęcia. Bezpieczeństwo przejęło temat po Log4Shell w grudniu 2021 roku, gdy wiele organizacji nie umiało odpowiedzieć na proste pytanie, czy w ogóle używa Log4j. Typowe przykłady to Dependabot, Snyk i OWASP Dependency-Check. Słabością jest szum: każda tranzytywna podatność wywołuje alert, także w kodzie, który nigdy nie jest wywoływany.