Gli strumenti di analisi della composizione del software (SCA) consentono agli utenti di analizzare e gestire gli elementi open-source delle loro applicazioni. Le aziende e gli sviluppatori utilizzano gli strumenti SCA per verificare le licenze e valutare le vulnerabilità associate a ciascuno dei componenti open-source delle loro applicazioni. Più robusti del software di scansione delle vulnerabilità, gli strumenti SCA scansionano automaticamente tutti i componenti open-source per verificare la conformità alle politiche e alle licenze, i rischi per la sicurezza e gli aggiornamenti delle versioni. Il software SCA fornisce anche approfondimenti per rimediare alle vulnerabilità identificate, di solito all'interno dei rapporti generati dopo una scansione.
Le aziende e gli sviluppatori spesso utilizzano gli strumenti SCA in combinazione con il software di analisi del codice statico, che scansiona il codice dietro le loro applicazioni anziché i componenti open-source.
Per qualificarsi per l'inclusione nella categoria di Analisi della Composizione del Software (SCA), un prodotto deve:
Tracciare e analizzare automaticamente i componenti open-source di un'applicazione
Identificare le vulnerabilità dei componenti, i problemi di licenza e conformità, e gli aggiornamenti delle versioni
Fornire approfondimenti sulla rimedio delle vulnerabilità