Анализ состава ПО (SCA)
Простыми словами
SCA строит перечень библиотек и их версий, включая транзитивные зависимости, и сопоставляет его с базами уязвимостей и политиками организации.
Как применяется
SCA встраивают в репозитории и CI/CD, проверяют lock-файлы, образы и SBOM, приоритизируют достижимые уязвимости и контролируют исключения.
Пример применения
Сканер обнаруживает уязвимую транзитивную библиотеку в контейнере. Команда проверяет, вызывается ли опасная функция, обновляет родительский пакет и пересобирает образ.
Не путать с
- СравнениеSAST анализирует собственный исходный код на дефекты; SCA исследует состав сторонних компонентов и связанные с ними сведения.
Как это работает
- ИнвентаризацияИнструмент читает манифесты, lock-файлы, сборки или образы и определяет компоненты.
- Идентификация версийПрямые и транзитивные зависимости нормализуются по имени и версии.
- СопоставлениеКомпоненты связываются с уязвимостями, лицензиями и политиками.
- ОбработкаКоманда обновляет, заменяет, компенсирует риск или документирует обоснованное исключение.
Продолжить изучение
- Курсы по AppSecКурс
- SCAРешения
- SAST, DAST и SCA в CI/CDСтатья
Связанные термины
Частые вопросы
Нет. SBOM является перечнем состава, а SCA — процессом анализа компонентов и рисков, который может использовать или формировать SBOM.
Почему нельзя исправлять только по CVSS?Нужно учитывать достижимость, экспозицию, критичность приложения и наличие эксплуатации.
Что делать без новой версии?Оценить достижимость, применить компенсирующие меры, ограничить экспозицию и зафиксировать срок пересмотра.