Softwarezusammensetzungsanalyse

Problem

Ihre Anwendung enthält 500 Open-Source-Abhängigkeiten. Ihr eigener Code ist möglicherweise sicher, während eine Bibliothek eine bekannte Schwachstelle enthält.

Lösung — SCA

Tools wie Snyk Open Source und GitHub Dependabot identifizieren Paketnamen und Versionen aus Abhängigkeitsdateien, einschließlich Bibliotheken, die von anderen Bibliotheken bereitgestellt werden, und vergleichen sie mit Datenbanken bekannter Sicherheitslücken. Repository-Integrationen oder CI-Scans melden betroffene Pakete und verfügbare korrigierte Versionen. Bei aktivierten Sicherheitsupdates kann Dependabot beispielsweise einen Pull Request zur Aktualisierung einer verwundbaren Abhängigkeit öffnen.

Anwendung
   ↓
Abhängigkeitsinventar
   ↓
Bekannte Schwachstellen

Kerngedanke: SCA findet Sicherheitsrisiken, die durch Softwarekomponenten von Drittanbietern eingeführt werden.