Běžně rozhoduje přímé a tranzitivní závislosti, názvy a verze komponent, licence, provenienci a shody s publikovanými záznamy zranitelností či organizačně definovanými politikami. Analýza může používat manifesty, lockfiles, zdrojové stromy, metadata balíčků, výstupy buildu, kontejnerové image či binární podpisy.
Ústředním důkazem je identita komponenty, nikoli analýza původního kódu aplikace či živý útok. Přesná identifikace pomáhá týmům vyšetřovat nově zveřejněné zranitelnosti, spravovat nepodporované závislosti, přezkoumávat licenční povinnosti a produkovat či ověřovat kusovníky softwaru. Výsledky potřebují pokračující údržbu, protože závislosti a externí informace o hrozbách se po vydání mění.
Klíčové body
Zkoumané důkazyManifesty a zámky balíčků, grafy závislostí, obsah artefaktů, identifikátory balíčků, kontrolní součty, metadata buildu a databáze komponent.
Typické výstupyInventář komponent, vztahy závislostí, informace o verzích a licencích, nálezy politik, shody zranitelností a kandidáti na upgrade či nápravu.
Správný provozSkenujte artefakty skutečně sestavené a nasazené, zahrňte tranzitivní a vestavěné komponenty, uchovávejte důkazy verzí, aktualizujte zpravodajství a přiřaďte vlastníky rozhodnutím o nápravě.
Důležité omezeníShoda komponenta–advisory nezakládá, že zranitelný kód je přítomen, dosažitelný či zneužitelný v konkrétním produktu. Chybějící metadata a nesprávné rozřešení verzí mohou rovněž vytvářet falešné negativy či pozitivy.