Co to jest Analiza Składu Oprogramowania (SCA)?

Analiza Składu Oprogramowania (SCA) to proces bezpieczeństwa, który identyfikuje i zarządza ryzykiem związanym z bibliotekami stron trzecich używanymi w aplikacjach.

Współczesne aplikacje w dużej mierze polegają na bibliotekach open-source, komponentach stron trzecich lub frameworkach. Luki w zabezpieczeniach tych zależności mogą narazić całą aplikację na ataki.

Narzędzia SCA skanują zależności w celu znalezienia luk w zabezpieczeniach, przestarzałych pakietów i ryzyk związanych z licencjami.

Dlaczego SCA jest ważne w cyberbezpieczeństwie

Aplikacje dzisiaj są budowane z komponentów stron trzecich i bibliotek open-source. Atakujący często atakują te komponenty, aby wykorzystać luki w zabezpieczeniach, jak to miało miejsce w głośnych przypadkach, takich jak luka w Log4j.

Korzyści z SCA

Analiza Składu Oprogramowania (SCA) pomaga organizacjom:

• Wykrywać luki w bibliotekach używanych przed wdrożeniem do produkcji
• Śledzić licencje bibliotek open-source, aby uniknąć ryzyka prawnego
• Zmniejszać ryzyko ataków na łańcuch dostaw
• Spełniać wymagania ram bezpieczeństwa, takie jak PCI DSS i NIST

Jak działa SCA

• Skanowanie drzewa zależności aplikacji
• Porównanie komponentu z bazą danych znanych podatności (np. NVD)
• Oznaczanie przestarzałych lub ryzykownych pakietów i sugerowanie deweloperowi aktualizacji lub poprawek
• Zapewnienie widoczności wykorzystania licencji open-source

Typowe problemy wykrywane przez SCA

• Podatne biblioteki open-source (np. Log4J)
• Przestarzałe zależności z lukami bezpieczeństwa
• Konflikty licencyjne (GPL, Apache, itp.)
• Ryzyko złośliwego pakietu w publicznych repozytoriach

Przykład

Zespół deweloperów buduje aplikację webową używając przestarzałej wersji biblioteki logowania. Narzędzia SCA skanują i znajdują, że ta wersja jest podatna na atak zdalnego wykonania kodu (RCE). Zespół aktualizuje zależność do bezpiecznej biblioteki przed wprowadzeniem aplikacji do produkcji

Powiązane terminy

• Dynamiczne Testowanie Bezpieczeństwa Aplikacji (DAST)
• Statyczne Testowanie Bezpieczeństwa Aplikacji (SAST)
• Interaktywne Testowanie Bezpieczeństwa Aplikacji (IAST)
• Bezpieczeństwo Aplikacji
• Testowanie Bezpieczeństwa Aplikacji
• SBOM (Lista Materiałów Oprogramowania)
• Atak na Łańcuch Dostaw