Ferramentas de análise de composição de software (SCA) permitem que os usuários analisem e gerenciem os elementos de código aberto de suas aplicações. Empresas e desenvolvedores usam ferramentas SCA para verificar licenças e avaliar vulnerabilidades associadas a cada um dos componentes de código aberto de suas aplicações. Mais robustas do que software de scanner de vulnerabilidades, as ferramentas SCA escaneiam automaticamente todos os componentes de código aberto para verificar conformidade com políticas e licenças, riscos de segurança e atualizações de versão. O software SCA também fornece insights para remediar vulnerabilidades identificadas, geralmente dentro dos relatórios gerados após uma varredura.
Empresas e desenvolvedores frequentemente usam ferramentas SCA em conjunto com software de análise de código estático, que escaneia o código por trás de suas aplicações em oposição aos componentes de código aberto.
Para se qualificar para inclusão na categoria de Análise de Composição de Software (SCA), um produto deve:
Rastrear e analisar automaticamente os componentes de código aberto de uma aplicação
Identificar vulnerabilidades de componentes, questões de licenciamento e conformidade, e atualizações de versão
Fornecer insights sobre a remediação de vulnerabilidades