Yazılım bileşen analizi (SCA)
Bir üründeki her üçüncü taraf kod parçasının otomatik envanteri; bilinen güvenlik açıkları ve lisans koşulları açısından denetlenir.
Tipik bir uygulamanın yüzde 80–90’ı başkalarının kodudur ve çoğunu ekipten kimse seçmemiştir — bağımlılığın bağımlılığı olarak gelmiştir. SCA araçları manifest ve kilit dosyalarını, bazen ikili dosyaları da okur, bileşenlerin ve sürümlerin tam listesini çıkarır ve CVE veritabanlarıyla lisans kataloglarına karşı eşleştirir. Çıktı bir güvenlik açığı raporudur ve şansınız varsa hazır bir SBOM.
Bir hukukçu aracı olarak başladı: 2000’lerde Black Duck onu, bir satın alma kapanmadan önce kapalı kaynak ürünlerde saklanan GPL kodunu bulmak için satıyordu. Güvenlik işi, Aralık 2021’deki Log4Shell’in ardından devraldı; birçok kuruluş Log4j çalıştırıp çalıştırmadığı gibi basit bir soruya yanıt veremiyordu. Dependabot, Snyk ve OWASP Dependency-Check yaygın örneklerdir. Zayıf yanı gürültüdür: dolaylı her açık, hiç çağrılmayan koddakiler dâhil, bir uyarı üretir.