SCA-Soft Composition Analysis软件成分分析

1. 概述
目前
SCA（软件成分分析）在2016-2018年Gartner发布的DevSecOps中均有出现。但每年的关注点不同，在2016年的报告中，强调的是DevSecOps的安全测试和RASP（运行时应用安全保护）；2017年时侧重面向开源软件（Open Source Software）进行安全扫描和软件成份分析；2018年继续强调针对开源软件的软件成份分析。
软件成分分析(SCA，Software Composition Analysis)专门用于分析开发人员使用的各种源码、模块、框架和库，以识别和清点开源软件（OSS）的组件及其构成和依赖关系，并识别已知的安全漏洞或者潜在的许可证授权问题，把这些风险排查在应用系统投产之前，也适用于应用系统运行中的诊断分析。
2. 关键评估指标
Gartner给出了SCA关键评估指标，包括：
1）是否具备漏洞和配置扫描功能？
2）能否将开源组件指纹与CVE关联？
3）能否与SAST/DAST/IAST扫描集成？

Gartner给客户的建议则包括：
1）不要轻易让SCA的使用者（一般是开发人员）切换工具；
2）需要提供API以便使用者进行自动化集成；
3）确保能够检查到开源软件的许可证问题；
4） SCA的测试过程要无缝集成到 DevSecOps流程中；
另外，在Gartner的2018年应用安全的Hype Cycle中，SCA相较于之前更加成熟，但仍处于成熟早期的阶段，属于应用安全测试的范畴，可以综合使用静态测试、动态测试、交互测试等手段。
SCA与SAST各有其负责的流程，SAST负责对自编的源代码进行安全检测。

SCA-Soft Composition Analysis软件成分分析相关推荐

漫谈SCA（软件成分分析）测试技术：原理、工具与准确性
本文分享自华为云社区<漫谈SCA测试技术(一)>,原文作者:安全技术猿 . 1.什么是SCA SCA(Software Composition Analysis)软件成分分析,通俗的理解就 ...
北大软件“软件成分分析与漏洞检测工具”（CoBOT—SCA）正式发布
根据全球知名IT研究与顾问咨询公司Gartner统计,从2010年到2018年软件代码中采用开源框架或组件.第三方库的比例每年以30%的速度增长,大量的软件系统引入开源代码和第三方库,有的系统引用开源 ...
软件成分分析（SCA）详述
一.SCA是什么? 今天的软件开发普遍遵循敏捷实践,发布和部署周期都很短这导致开发团队非常依赖开源来加速创新迭代速度.因此,对团队项目中包含的每个开源组件进行跟踪非常重要,这样可以避免法律不合规的风险 ...
什么是SCA（软件成分分析）
1.基本概念软件成分分析(SCA,Software Composition Analysis)是一种对二进制软件的组成部分进行识别.分析和追踪的技术.专门用于分析开发人员使用的各种源码.模块.框架和 ...
从开源组件安全看SCA软件成分分析技术
1.基本概念软件成分分析(SCA,Software Composition Analysis)是一种对二进制软件的组成部分进行识别.分析和追踪的技术.专门用于分析开发人员使用的各种源码.模块.框架和 ...
浅谈软件成分分析（SCA）在企业开发安全建设中的落地思路
前言开源软件具有开放.共享.自由等特性,在软件开发中扮演着越来越重要的角色,也是软件供应链的重要组成部分.根据Gartner调查显示,99%的组织在其 IT系统中使用了开源软件.而来自Sonatyp ...
什么是软件成分分析(SCA)安全测试技术
[摘要] 本文介绍了SCA技术的基本原理.应用场景,业界TOP SCA商用工具的分析说明以及技术发展趋势:让读者对SCA技术有一个基本初步的了解,能更好的准确的应用SCA工具来发现应用软件中一些安全问 ...
SCA软件成分分析简析（一）
一.概述 SCA全称 Software Compostition Analysis,译为软件成分分析,即通过分析软件源码提取项目依赖的第三方组件及其版本.许可证.模块.框架和库等信息,生成软件物料清单 ...
SCA（软件成分分析）中的知识图谱技术
在开源广泛使用的今天,如何解决开源组件中潜在的风险问题也被众多企业提上了日程.开源风险包括漏洞风险,许可证风险等等,现在一般的解决方法是使用SCA工具. SCA工具最基础的检测能力就是对开源组件中的依 ...

SCA-Soft Composition Analysis软件成分分析

SCA-Soft Composition Analysis软件成分分析相关推荐

最新文章

热门文章