Les outils d'analyse de la composition logicielle (SCA) permettent aux utilisateurs d'analyser et de gérer les éléments open-source de leurs applications. Les entreprises et les développeurs utilisent les outils SCA pour vérifier les licences et évaluer les vulnérabilités associées à chacun des composants open-source de leurs applications. Plus robustes que les logiciels de scanner de vulnérabilités, les outils SCA scannent automatiquement tous les composants open-source pour vérifier la conformité aux politiques et aux licences, les risques de sécurité et les mises à jour de version. Le logiciel SCA fournit également des informations pour remédier aux vulnérabilités identifiées, généralement dans les rapports générés après un scan.
Les entreprises et les développeurs utilisent souvent les outils SCA en conjonction avec les logiciels d'analyse de code statique, qui scannent le code derrière leurs applications par opposition aux composants open-source.
Pour être inclus dans la catégorie Analyse de la Composition Logicielle (SCA), un produit doit :
Suivre et analyser automatiquement les composants open-source d'une application
Identifier les vulnérabilités des composants, les problèmes de licence et de conformité, et les mises à jour de version
Fournir des informations sur la remédiation des vulnérabilités