SCA مخفف Software Composition Analysis است. این نوع تحلیل وابستگی‌های مستقیم و غیرمستقیم پروژه، نسخه بسته‌ها، مجوزها و آسیب‌پذیری‌های شناخته‌شده را بررسی می‌کند. SCA با اسکن سورس کد توسط SAST یکسان نیست.
ابزارها و اکوسیستم‌ها
| ابزار | موارد استفاده | نمونه دستور |
|---|---|---|
| Composer Audit | وابستگی‌های PHP | composer audit |
| npm audit | وابستگی‌های Node.js | npm audit |
| pip-audit | بسته‌های Python | pip-audit |
| govulncheck | ماژول‌های Go | govulncheck ./... |
| OWASP Dependency-Check | اسکن وابستگی چند اکوسیستم | dependency-check --scan . |
| Trivy | پکیج، Image، پیکربندی و SBOM | trivy fs . |
برای محیط CI به‌جای مسدودکردن کورکورانه همه هشدارها، شدت، دسترس‌پذیری مسیر آسیب‌پذیر و نسخه اصلاح‌شده را در تصمیم لحاظ کنید.
دامنه ابزار
برخی ابزارهای فهرست بالا، فراتر از SCA قابلیت‌های دیگری هم دارند. نتایج وابسته به پایگاه داده آسیب‌پذیری‌ها و کیفیت تشخیص نسخه است.
اصطلاحات مرتبط: اسکن وابستگی‌ها، تست امنیت ایستای نرم‌افزار، تست امنیت پویای نرم‌افزار، سی‌وی‌ای، فهرست اجزای نرم‌افزار، زنجیره تامین نرم‌افزار.