# Czym jest analiza składu oprogramowania (SCA)?

> Analiza składu oprogramowania (software composition analysis, SCA) identyfikuje komponenty programowe używane w aplikacji i ocenia powiązane z nimi informacje.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/software-composition-analysis/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

Zwykle rozwiązuje zależności bezpośrednie i przechodnie, nazwy i wersje komponentów, licencje, pochodzenie oraz dopasowania do opublikowanych rekordów podatności lub polityk zdefiniowanych przez organizację. Analiza może używać manifestów, plików blokujących, drzew źródłowych, metadanych pakietów, wyjść budowy, obrazów kontenerów lub sygnatur binarnych.

Centralnym dowodem jest tożsamość komponentu, a nie analiza oryginalnego kodu aplikacji ani żywy atak. Dokładna identyfikacja pomaga zespołom badać nowo ujawnione podatności, zarządzać nieobsługiwanymi zależnościami, przeglądać zobowiązania licencyjne oraz produkować lub weryfikować wykazy komponentów oprogramowania. Wyniki wymagają ciągłego utrzymania, ponieważ zależności i zewnętrzne dane o zagrożeniach zmieniają się po wydaniu.

### Najważniejsze punkty

- **Badane dowody:** Manifesty i blokady pakietów, grafy zależności, zawartość artefaktów, identyfikatory pakietów, sumy kontrolne, metadane budowy i bazy danych komponentów.
- **Typowe wyjścia:** Inwentarz komponentów, relacje zależności, informacje o wersjach i licencjach, wyniki polityki, dopasowania podatności oraz kandydaci do aktualizacji lub remediacji.
- **Dobra eksploatacja:** Skanuj artefakty faktycznie zbudowane i wdrożone, uwzględniaj komponenty przechodnie i wbudowane, zachowuj dowody wersji, aktualizuj dane o zagrożeniach i przypisuj właścicieli decyzjom o remediacji.
- **Istotne ograniczenie:** Dopasowanie komponentu do doradztwa nie potwierdza, że podatny kod jest obecny, osiągalny lub eksploitowalny w konkretnym produkcie. Brakujące metadane i niepoprawne rozwiązanie wersji mogą też tworzyć fałszywe negatywy lub pozytywy.

### Powiązane terminy

[Wykaz komponentów oprogramowania (SBOM)](<https://yellowcube.eu/pl/glossary/software-bill-of-materials/>) · [Zarządzanie podatnościami](<https://yellowcube.eu/pl/glossary/vulnerability-management/>) · [Bezpieczeństwo łańcucha dostaw](<https://yellowcube.eu/pl/glossary/supply-chain-security/>)

### Źródła

[OWASP Component Analysis](https://owasp.org/www-community/Component_Analysis) · [NIST SP 800-218, Secure Software Development Framework](https://csrc.nist.gov/pubs/sp/800/218/final)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.