Aceasta rezolvă în mod obișnuit dependențe directe și tranzitive, nume și versiuni de componente, licențe, proveniență și potriviri cu înregistrări de vulnerabilități publicate sau politici definite de organizație. Analiza poate folosi manifeste, lockfile-uri, arbori de surse, metadate de pachete, ieșiri de build, imagini de containere sau semnături binare.
Dovada centrală este identitatea componentei, nu o analiză a codului original al aplicației sau un atac live. Identificarea exactă ajută echipele să investigheze vulnerabilități nou divulgate, să gestioneze dependențe nesuportate, să revizuiască obligații de licențiere și să producă sau verifice liste de materiale software. Rezultatele au nevoie de mentenanță continuă, deoarece dependențele și informațiile externe despre amenințări se schimbă după lansare.
Puncte esențiale
Dovezi examinateManifeste și lockfile-uri de pachete, grafuri de dependențe, conținutul artefactelor, identificatori de pachete, checksum-uri, metadate de build și baze de date de componente.
Ieșiri tipiceInventar de componente, relații de dependență, informații de versiune și licență, constatări de politici, potriviri de vulnerabilități și candidați de upgrade sau remediere.
Operare fiabilăScanați artefactele efectiv construite și implementate, includeți componente tranzitive și încorporate, păstrați dovezi de versiune, actualizați informațiile despre amenințări și atribuiți proprietari pentru decizii de remediere.
Limitare importantăO potrivire componentă-advisory nu stabilește că codul vulnerabil este prezent, accesibil sau exploitabil într-un anumit produs. Metadatele lipsă și rezoluția incorectă a versiunilor pot crea și false negative sau pozitive.