Анализ состава ПО (SCA)
Автоматическая инвентаризация всего стороннего кода в продукте с проверкой на известные уязвимости и условия лицензий.
Типичное приложение на 80–90 процентов состоит из чужого кода, и большую его часть никто в команде не выбирал: он пришёл как зависимость зависимости. Инструменты SCA читают манифесты и lock-файлы, иногда и бинарники, строят полный список компонентов и версий и сверяют его с базами CVE и каталогами лицензий. На выходе — отчёт об уязвимостях и, если повезёт, готовый SBOM.
Начиналось всё как инструмент юристов: в 2000-х Black Duck продавала его для поиска GPL-кода, спрятанного в проприетарных продуктах, до закрытия сделки о поглощении. Безопасность подхватила тему после Log4Shell в декабре 2021 года, когда многие организации не могли ответить на простой вопрос, используют ли они вообще Log4j. Типичные примеры — Dependabot, Snyk и OWASP Dependency-Check. Слабое место — шум: каждая транзитивная уязвимость вызывает оповещение, в том числе в коде, который никогда не вызывается.