Zwykle rozwiązuje zależności bezpośrednie i przechodnie, nazwy i wersje komponentów, licencje, pochodzenie oraz dopasowania do opublikowanych rekordów podatności lub polityk zdefiniowanych przez organizację. Analiza może używać manifestów, plików blokujących, drzew źródłowych, metadanych pakietów, wyjść budowy, obrazów kontenerów lub sygnatur binarnych.
Centralnym dowodem jest tożsamość komponentu, a nie analiza oryginalnego kodu aplikacji ani żywy atak. Dokładna identyfikacja pomaga zespołom badać nowo ujawnione podatności, zarządzać nieobsługiwanymi zależnościami, przeglądać zobowiązania licencyjne oraz produkować lub weryfikować wykazy komponentów oprogramowania. Wyniki wymagają ciągłego utrzymania, ponieważ zależności i zewnętrzne dane o zagrożeniach zmieniają się po wydaniu.
Najważniejsze punkty
Badane dowodyManifesty i blokady pakietów, grafy zależności, zawartość artefaktów, identyfikatory pakietów, sumy kontrolne, metadane budowy i bazy danych komponentów.
Typowe wyjściaInwentarz komponentów, relacje zależności, informacje o wersjach i licencjach, wyniki polityki, dopasowania podatności oraz kandydaci do aktualizacji lub remediacji.
Dobra eksploatacjaSkanuj artefakty faktycznie zbudowane i wdrożone, uwzględniaj komponenty przechodnie i wbudowane, zachowuj dowody wersji, aktualizuj dane o zagrożeniach i przypisuj właścicieli decyzjom o remediacji.
Istotne ograniczenieDopasowanie komponentu do doradztwa nie potwierdza, że podatny kod jest obecny, osiągalny lub eksploitowalny w konkretnym produkcie. Brakujące metadane i niepoprawne rozwiązanie wersji mogą też tworzyć fałszywe negatywy lub pozytywy.