Mjukvarukompositionsanalys (SCA)
Automatisk inventering av all tredjepartskod i en produkt, kontrollerad mot kända sårbarheter och licensvillkor.
En typisk applikation består till 80–90 procent av andras kod, och det mesta har ingen i teamet valt aktivt – det kom med som beroende till ett beroende. SCA-verktyg läser manifest och låsfiler, ibland även binärer, bygger en komplett lista över komponenter och versioner och matchar den mot CVE-databaser och licenskataloger. Resultatet är både en sårbarhetsrapport och, i bästa fall, en färdig SBOM.
Disciplinen började som juristverktyg: Black Duck sålde på 2000-talet in den som ett sätt att hitta GPL-kod i proprietära produkter före ett företagsköp. Säkerhetssidan tog över efter Log4Shell i december 2021, när många organisationer inte kunde svara på den enkla frågan om de alls körde Log4j. Dependabot, Snyk och OWASP Dependency-Check är vanliga exempel. Svagheten är brus: varje transitiv sårbarhet larmar, även i kod som aldrig anropas.