# Co je analýza složení softwaru (SCA)?

> Analýza složení softwaru (software composition analysis, SCA) identifikuje softwarové komponenty použité v aplikaci a hodnotí informace s nimi spojené.

- Kanonická URL: https://yellowcube.eu/cs/glossary/software-composition-analysis/
- Vydavatel: Yellow Cube
- Jazyk: cs
- Kontakt: hello@yellowcube.eu

## Obsah

Běžně rozhoduje přímé a tranzitivní závislosti, názvy a verze komponent, licence, provenienci a shody s publikovanými záznamy zranitelností či organizačně definovanými politikami. Analýza může používat manifesty, lockfiles, zdrojové stromy, metadata balíčků, výstupy buildu, kontejnerové image či binární podpisy.

Ústředním důkazem je identita komponenty, nikoli analýza původního kódu aplikace či živý útok. Přesná identifikace pomáhá týmům vyšetřovat nově zveřejněné zranitelnosti, spravovat nepodporované závislosti, přezkoumávat licenční povinnosti a produkovat či ověřovat kusovníky softwaru. Výsledky potřebují pokračující údržbu, protože závislosti a externí informace o hrozbách se po vydání mění.

### Klíčové body

- **Zkoumané důkazy:** Manifesty a zámky balíčků, grafy závislostí, obsah artefaktů, identifikátory balíčků, kontrolní součty, metadata buildu a databáze komponent.
- **Typické výstupy:** Inventář komponent, vztahy závislostí, informace o verzích a licencích, nálezy politik, shody zranitelností a kandidáti na upgrade či nápravu.
- **Správný provoz:** Skenujte artefakty skutečně sestavené a nasazené, zahrňte tranzitivní a vestavěné komponenty, uchovávejte důkazy verzí, aktualizujte zpravodajství a přiřaďte vlastníky rozhodnutím o nápravě.
- **Důležité omezení:** Shoda komponenta–advisory nezakládá, že zranitelný kód je přítomen, dosažitelný či zneužitelný v konkrétním produktu. Chybějící metadata a nesprávné rozřešení verzí mohou rovněž vytvářet falešné negativy či pozitivy.

### Související termíny

[Seznam softwarových komponent (SBOM)](<https://yellowcube.eu/cs/glossary/software-bill-of-materials/>) · [Řízení zranitelností](<https://yellowcube.eu/cs/glossary/vulnerability-management/>) · [Zabezpečení dodavatelského řetězce](<https://yellowcube.eu/cs/glossary/supply-chain-security/>)

### Zdroje

[OWASP Component Analysis](https://owasp.org/www-community/Component_Analysis) · [NIST SP 800-218, Secure Software Development Framework](https://csrc.nist.gov/pubs/sp/800/218/final)

## Pojďme budovat chytřejší kybernetickou obranu Společně

Dlouhodobá partnerství stavíme na důvěře, odbornosti a společném úspěchu. Ať chcete rozvíjet své podnikání, rozšířit nabídku kybernetické bezpečnosti nebo uvést inovativní řešení na nové trhy, v Yellow Cube najdete spolehlivého partnera.

[Spojte se s Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Uvedení zdroje a rozsah

Tato verze Markdown vzniká ze stejných schválených záznamů jako kanonická stránka HTML. Při citování použijte kanonickou adresu.